445万件。止めるのは速かったが、気づくまでに2日かかっていた

• 4,454,097件。「疑い」ではなく流出が確認された
• 報道に出ていない項目が1つ。ハッシュ化されたパスワード
• 侵入は10月17日、気づいたのは19日。止めたのはその当日

今朝、ふるさとチョイスの止め方について書いた。その時点では「調査中」しか出ていなかった。

夜になって公式発表が出た。数字が大きい。

まず、確定した数字

公式の記載はこうだ。

（２）件数：4,454,097件
（３）情報項目：氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額

そして「流出した可能性」ではない。朝の告知は「不正アクセスの疑いがある事象を検知した」だった。いまはこう変わっている。

会員登録いただいている寄附者様の個人情報が外部に流出したことが判明いたしました。

確認済みに変わった。ここは大きい。

報道が落としていた項目

見出しで挙げられていたのは「氏名、メールアドレス、住所、電話番号、寄附控除試算額」だった。

公式にはもう1つある。ハッシュ化されたパスワードだ。

これがあると、やることが変わる。使い回しの確認が要る。

いちばん気になったのは「寄附控除試算額」

見慣れない項目だと思う。だが性質がかなり違う。

ふるさと納税で控除される上限は、その人の収入や家族構成によって決まる（総務省の説明）。試算額は、そこから計算された数字だ。

つまりその数字を見ると、おおよその所得の水準が推測できる。

しかも今回は、こう並んでいる。

• 氏名
• 住所
• 電話番号
• そして所得の手がかり

この組み合わせは名簿として使いやすい。金額で並べ替えられる名簿になる。

一意に年収が分かるわけではない。控除の上限は他の控除にも左右される。それでも「名前とメールが漏れた」とは質が違うと考えたほうがいい。

だから、電話と郵便にも用心する

公式も注意の対象に郵便物を入れている。

当社や関係先を装った不審なメール、SMS、電話、郵便物にご注意ください。

住所と電話番号が出ているので、メールだけの話ではない。寄附をした人に、寄附に関する連絡を装って届く形がいちばん効いてしまう。

時間を整理する

経緯の書き方が、朝の報道より具体的になっていた。

2026年10月19日（月）通常と異なるアクセス傾向を把握したため確認を行ったところ、2026年10月17日（土）に不正アクセスがあったことを確認し、会員の個人情報が外部に流出したことが判明いたしました。

速さを2つに分けて見る

ここは公平に書きたい。

• 気づいてからは速い。把握した当日の15時50分に止めている
• 気づくまでが遅い。侵入は土曜、把握は月曜。約2日

今日公開したクリプトンの事例では、検知から3時間39分で止めていた。あれは「検知してから」の速さだ。

ふるさとチョイスも検知してからは同じくらい速い。違うのは土曜に入られて、月曜まで気づかなかったところにある。

止める速さと、気づく速さは別の能力だ。今日の2件を並べると、それがはっきり分かる。

朝に指摘した点は、解消された

今朝の記事で、1つだけ惜しい点を挙げた。トラストバンクのコーポレートサイトに掲載が無いことだ。

その日のうちに掲載された。ニュースリリースとして正式に出ている。

止め方のほう（503とRetry-Afterを返す形）もそのまま維持されていた。20時30分に確認した時点でも同じだった。告知の文面だけが、疑いから確認済みへ差し替わっている。

止めた画面を、そのまま更新して使っている形になる。これは良い運用だと思う。

寄附者がやること

1. パスワードの使い回しを止める

公式の依頼はこれが最初に来ている。

「ふるさとチョイス」と同じメールアドレスとパスワードの組み合わせを他のサービスでもご利用の場合は、不正ログインを防ぐため、他のサービスのパスワードを変更していただきますようお願いいたします。

ハッシュ化されているが、それは「解けない」という意味ではない。短いパスワードや、よくある単語は戻せる。

昨日書いた他社で漏れた組み合わせを順番に試す攻撃は、すでに始まっている。いま変える。

2. 「再開しました」の連絡を開かない

再開時期は未定とされている。だから「再開しました」は、いま全部疑っていい。

メール、SMS、電話、郵便。リンクから入らない。見分け方は漏えいの後に届く「お詫びとお知らせ」に書いた。

3. 寄附そのものは心配しなくていい

朝の記事にも書いたが、済んだ寄附は成立している。受領証明書などは自治体から届く。

控除の対象は年内の寄附なので、再開を待てる人は待っていい。急ぐなら他のポータルを使う。

見ておきたい点

1つ、まだ書かれていないことがある。再開時にパスワードをどう扱うかだ。

今日のクリプトンの対応では、全員のパスワードを先に無効化していた。頼むのではなく、止めた。

ふるさとチョイスは他社のパスワードを変えてほしいとは書いているが、自社のパスワードをどうするかは書かれていない。いまはサービスが止まっているので実害は無い。再開のときにどうするかを見ておきたい。

件数についても、公式が「今後の調査により変動する可能性があります」と書いている。445万件で確定ではない。

まとめ

• 流出は確認済み。件数は4,454,097件（変動の可能性あり）
• 項目は氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額
• 寄附控除試算額から、おおよその所得の水準が推測できる
• 不正アクセスは10月17日（土）。把握は19日（月）。約2日
• 把握した当日の15時50分に停止。止める判断は速い
• 10月20日に個人情報保護委員会へ報告完了。21日に警察へ被害申告の予定
• 朝に挙げたコーポレートサイトの掲載は、同日中に出た
• やることは使い回しの変更と郵便まで含めた用心

出典

• トラストバンク「不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ」（2026年10月20日。件数4,454,097件、情報項目、経緯の日時、報告・被害申告の予定、寄附者への依頼）
• ふるさとチョイス「【重要なお知らせ】」（停止中に表示される告知。文面が「流出したことが判明」に更新されていることを2026年10月20日20時34分に確認）
• 総務省「ふるさと納税のしくみ：税金の控除について」（控除の対象期間）

本記事は2026年10月20日20時40分時点の公表内容に基づく。件数と項目は今後の調査で変わる可能性があると公式が明記している。最新の情報は公式の告知で確認すること。本記事は法的・税務上の助言ではない。