MAKOSOYO Tech

ニュース

ふるさとチョイスの445万件流出、漏れた「寄附控除試算額」で何が推測されるか。年内の寄付と申請はどう進めるか

ふるさとチョイスの会員情報445万4097件が流出した。流出項目の「寄附控除試算額」は、会員が保存したふるさと納税の上限額の目安で、総務省の目安表と照らすと年収の水準を推測される可能性がある。ただし手入力もでき、家族構成や控除、入力時期でも変わるため、試算額だけで実際の年収が分かるわけではない。サイトとパートナーサイトは10月19日から止まっていて再開は未定。年内の寄付、申し込み済みの寄付、ワンストップ特例の申請を、チョイスのマイページに頼らずに進める方法を整理する。

この記事は2026年10月20日時点の情報をもとにしています。その後の状況の変化は原則として反映していません。

ふるさと納税サイト「ふるさとチョイス」を運営するトラストバンクは10月20日、不正アクセスで会員情報445万4097件が外部に流出したと発表した。流出した項目には、氏名、住所、電話番号、メールアドレス、ハッシュ化されたパスワードに加えて、「寄附控除試算額」が入っている。

ふるさとチョイスと、その仕組みを使うau PAYふるさと納税などのパートナーサイトは、10月19日の午後から止まっていて、再開の時期は決まっていない。ふるさと納税の申し込みが集中する10月から12月にかけて止まったことになる。会員は何に気をつけ、年内の寄付と控除の手続きをどう進めればいいのか。

先に結論

「寄附控除試算額」から、年収の水準を推測される可能性はある。ただし、試算額だけで実際の年収が分かるわけではない。 これは、会員が控除上限額シミュレーションで計算するか手で入力して、マイページに保存した上限額の目安だ。上限額は主に年収で変わるので、総務省の目安表と照らすと、収入がおおよそどのくらいの層かの見当をつける材料にはなる。一方で、同じ年収でも家族構成や住宅ローン控除などで上限額は変わり、保存した時期の見込みのまま更新されていないこともある。氏名・住所・電話番号と一緒に流出しているので、ふるさと納税の手続きを装った詐欺の連絡に気をつける。

同じパスワードを他のサービスでも使っているなら、そちらのパスワードを変える。 トラストバンクの案内は「同じメールアドレスとパスワードの組み合わせ」の場合だが、メールアドレスが違っていても、パスワードを使い回していれば変えておくほうが安全だ。

年内に寄付するなら、まず今年すでに寄付した金額を自分で合計する。 停止中は、チョイスのマイページで寄付履歴も、保存した上限額の残りも見られない。申し込み完了のメールやカードの明細から合計を出してから、ほかのサイトや自治体の窓口で寄付する。寄付先の自治体が同じなら、どのサイトから申し込んでも、ワンストップ特例の「5自治体まで」の数え方は変わらない。

ワンストップ特例の申請は、紙の申請書なら停止中でもできる。 申請書は総務省や自治体のサイトから入手でき、提出先は寄付先の自治体だ。期限は2026年分の寄付なら2027年1月10日だが、「必着」か「消印有効」かは自治体によって案内が違う。寄付先の自治体の案内を確かめ、分からなければ「1月10日必着」より早く届くように出す。チョイスの再開を待つ必要はない。チョイスのアプリやマイページから行うオンライン申請は、停止中は使えない。

何が起きた？

内容
発表 10月20日（トラストバンク）
不正アクセスの日 10月17日（土）
気づいた日 10月19日（月）。通常と異なるアクセスの傾向から確認した
サービス停止 10月19日15時50分から。再開時期は未定
件数 4,454,097件（今後の調査で変わる可能性あり）
流出した項目 氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額（6項目が445万件すべてにそろっているかは、発表に書かれていない）
決済情報 読売新聞によると、クレジットカードなどの決済情報は含まれていない
届け出 10月20日に個人情報保護委員会へ報告。10月21日に警察へ被害を申告する予定
問い合わせ メール（toiawase@trustbank.co.jp）のみ

止まっているのは、ふるさとチョイス本体だけではない。自治体の案内によると、ふるさとチョイスの仕組みで動いているパートナーサイトも止まっている。自治体ごとに挙げているサイトは少しずつ違うが、主なものは次のとおりだ。

  • au PAYふるさと納税
  • セゾンのふるさと納税
  • ふるラボ
  • JRE MALLふるさと納税
  • KABU&ふるさと納税
  • Vふるさと納税
  • マルイふるさと納税
  • まいふる by AEON CARD
  • ケアネットふるさと納税
  • ニフティふるさと納税
  • ふるさと納税デパート
  • HISふるさと納税、ANAふるさと納税、YAMAPふるさと納税（一部の自治体の案内に掲載）

ふるさと納税型のクラウドファンディング「ガバメントクラウドファンディング」も、チョイスのページからは申し込めない。

パートナーサイトの会員の情報が445万件に含まれているかどうかは、発表に書かれていない。発表の対象は「ふるさとチョイスの会員情報」となっている。

トラストバンクは10月5日にも、Amazon Payで寄付するときに、別の利用者の氏名や住所が画面に表示されることがあった不具合を発表している（254件）。こちらはシステムの不具合で、今回の不正アクセスとは別の件だ。

ニフティも10月19日に不正アクセスを発表しているが、対象は「@nifty光」などの光回線の申し込みを管理するシステムで、ニフティふるさと納税とは別の件だ。

「寄附控除試算額」から何が分かるか

保存した人のデータが入っている

ふるさとチョイスには、年収や家族構成、社会保険料などを入力すると、自己負担2000円で済む寄付の上限額を計算する「控除上限額シミュレーション」がある。ログインした状態で「結果を保存」を押すと、その金額がマイページの寄付履歴に記録され、今年の寄付額と比べた残りが表示される。金額を手で入力して登録することもできる。

流出した寄附控除試算額は、こうして保存した金額だと考えられる。ITmediaと朝日新聞も、この機能で計算した上限額だと説明している。試算額を保存していない会員には、この項目の金額は記録されていないと考えられる。ただし、445万件のうち何件に試算額が含まれていたかは、発表されていない。

発表が流出した項目として挙げているのは試算額だけで、計算のために入力した年収や家族構成は挙げていない。

上限額から年収の水準を推測される可能性がある

それでも、上限額は年収の水準を推測する材料にはなる。上限額は主に住民税の額で決まり、住民税は収入が多いほど高くなるからだ。総務省の目安表（住宅ローン控除や医療費控除のない会社員の場合）では、上限額と給与収入はこう対応している。

給与収入 独身または共働き 夫婦と子2人（大学生と高校生）
300万円 2.8万円 なし
500万円 6.1万円 2.8万円
750万円 11.8万円 7.6万円
1000万円 17.6万円 14.4万円
1500万円 38.9万円 36.1万円
2000万円 56.4万円 53.6万円

この表から言えるのは、上限額が大きい人ほど年収も高い傾向がある、というところまでだ。試算額から実際の年収を割り出せるわけではない。理由は次のとおりだ。

  • 同じ年収でも、家族構成によって上限額が変わる。年収500万円なら、独身では6.1万円、夫婦と子2人では2.8万円になる
  • 住宅ローン控除、医療費控除、iDeCo、副業や株の売却益などがあると、目安表の対応からずれる
  • ふるさとチョイスでは、シミュレーションを使わずに金額を手で入力して保存することもできる。その人が自分で決めた予算の額かもしれない
  • 保存した時点での見込みなので、何年も前に保存したまま更新していなければ、今の収入とは合わない

ただ、流出した情報を悪用する側にとって、正確な年収はいらない。試算額が大きい会員を選んで、ふるさと納税の手続きを装った連絡を送る、といった使い方は考えられる。

どんな連絡に気をつけるか

氏名、住所、電話番号に加えて、ふるさと納税をしていることを知られている。試算額を保存していた人は、その金額も知られている。そのため、ふるさと納税の手続きを装った連絡は、本物らしく見えやすい。トラストバンクは、メール、SMS、電話に加えて郵便物にも注意するよう呼びかけている。

想定される例としては、次のような連絡がある。いずれも、今回実際に確認された手口ではない。

  • 「サービス停止の影響で、ワンストップ特例の申請が無効になった。再申請してほしい」として、マイナンバーカードの写真や暗証番号を求める
  • 「お詫びとして返礼品を送り直す」「寄付金を返金する」として、口座番号やカード番号を求める
  • 試算額に近い金額を示して「控除の上限を超えている」「追加の手続きが必要」と不安にさせる

ワンストップ特例の申請先は寄付先の自治体で、ふるさとチョイスではない。申請が受け付けられたかどうかも、自治体に問い合わせて確かめる仕組みだ。届いた連絡に書かれた番号やリンクは使わず、自治体の公式サイトに載っている連絡先に自分で問い合わせる。

パスワードはどうする？

流出したパスワードはハッシュ化されたもので、そのままでは読めない。ただ、短いものや推測しやすいものは、割り出される可能性がある。ハッシュ化の方式は公表されていない。

トラストバンクは、ふるさとチョイスと同じメールアドレスとパスワードの組み合わせを他のサービスでも使っているなら、他のサービスのパスワードを変えるよう求めている。

実際には、メールアドレスが違っていても、同じパスワードを他のサービスで使っているなら変えておくほうが安全だ。割り出されたパスワードは、別のメールアドレスやIDと組み合わせて試されることもある。メール、ネット通販、銀行やカードなど、乗っ取られたときの被害が大きいものから変える。

ふるさとチョイス自体のパスワードについては、発表に案内がない。関連サービスがすべて止まっているので、チョイス側で何かできるのは再開後になる。パスワードの扱いの違いと、ハッシュ化がどこまで安全かは、ソースネクストなど3社の流出の記事で説明した。

年内のふるさと納税をどう進めるか

今年の寄付額を自分で合計する

チョイスのマイページを使っていた人が停止中に困るのは、今年いくら寄付したかと上限額の残りが見られないことだ。この状態でほかのサイトから寄付すると、上限を超えやすい。上限を超えた分は控除されず、自己負担が増える。

今年の寄付額は、次のものから合計できる。

  • ふるさとチョイスから届いた申し込み完了のメール（寄付先の自治体と金額が書いてある）
  • クレジットカードやスマホ決済の利用明細
  • 自治体から届いた寄附金受領証明書

上限額も自分で確かめ直す。上の総務省の目安表のほか、住んでいる市区町村の住民税の担当でも聞ける。

ほかの窓口から寄付する

寄付先の自治体が、ふるさとチョイス以外のサイトにも返礼品を出していれば、そちらから申し込める。たとえば西東京市は、窓口のほか、さとふると楽天市場からの寄付を通常どおり受け付けていると案内している。多くの自治体が同じような案内を公式サイトに出しているので、寄付したい自治体の名前と「ふるさとチョイス 停止」で検索すると見つかる。

ワンストップ特例の「5自治体まで」は自治体の数で数えるので、申し込むサイトを変えても数は増えない。年内の寄付は、12月31日までに決済を終える必要がある。チョイスの再開を待つつもりなら、再開が12月までずれ込む可能性も考えて、早めにほかの方法に切り替えるかどうか決めておくほうがいい。

申し込み済みの寄付

寄付を受け付けたあとの手続き、つまり返礼品の発送、寄附金受領証明書の発行、ワンストップ特例の申請の受け付けは、寄付先の自治体が行う。ただし、返礼品の配送に遅れが出るかどうかなどの影響は、日本テレビの取材に対してトラストバンクが「調査中」と答えている。

気になる場合は、申し込み完了のメールの下のほうに書かれている自治体の連絡先に問い合わせる。チョイスのサイトの「自治体情報」は、停止中は開けない。

ワンストップ特例の申請

ワンストップ特例は、確定申告をしない会社員などが、寄付先の自治体に申請書を出すことで、確定申告なしで控除を受けられる制度だ。期限は寄付した翌年の1月10日で、2026年の寄付なら2027年1月10日になる。

ただ、2027年1月10日は日曜日で、翌11日も成人の日の祝日だ。2026年分の期限の案内は、自治体によって違う。

自治体 2026年分の期限の案内
北九州市 2027年1月10日までに市が受け取った分
高山市 2027年1月10日必着
川南町（宮崎県） 2027年1月10日の消印有効

案内は自治体ごとに違うので、寄付先の自治体の案内を確かめる。申請書に同封された案内か、自治体の公式サイトに書いてある。複数の自治体に出すなら、いちばん厳しい「必着」に合わせて準備すると取りこぼしがない。

普通郵便は土曜、日曜、祝日には配達されない。2027年は1月9日（土）から11日（月）まで3連休なので、「必着」の自治体に普通郵便で出すなら、8日（金）までに届くよう年内か年明けすぐに出しておく。

申請の方法 停止中に使えるか
紙の申請書を郵送 使える。申請書は総務省や寄付先の自治体のサイトからダウンロードできる
チョイスのマイページから、氏名や住所が印字された申請書をダウンロード 使えない
チョイスアプリ、ふるさとチョイス完結型のオンライン申請 使えない
自治体マイページ（mypg.jp）などの外部サービスでのオンライン申請 ふるさとチョイスとは別の会社のサービスで、自治体が挙げている停止中のサービスには入っていない。寄付先の自治体が対応しているかは、自治体の案内で確認する

紙で申請するときは、マイナンバーの確認書類と本人確認書類のコピーを付ける。マイナンバーカードを持っている場合は、通常、両面のコピーで両方を兼ねられる。持っていない場合は、マイナンバーが載った住民票の写しなどと、運転免許証やパスポートなどの組み合わせになる。使える書類は自治体の案内で確かめる。申込時に「申請書を希望する」を選んでいれば、自治体から申請書が届く。チョイスのアプリでオンライン申請するつもりだった人は、再開を待つこともできる。ただ、再開の時期が分からないので、年末が近づいても再開しなければ紙に切り替える。期限に間に合わなかった場合でも、確定申告をすれば控除は受けられる。

現時点で分からないこと

  • 445万件のうち、寄附控除試算額が入っていた件数。試算額を保存した会員だけが対象だと考えられるが、発表には書かれていない。ほかの項目も、445万件すべてにそろっているかは書かれていない
  • パートナーサイト（au PAYふるさと納税など）の会員の情報が、流出した件数に含まれているか
  • 不正アクセスの原因と、悪用された脆弱性。発表は「検知した脆弱性」とだけ書いている
  • サービスの再開時期。トラストバンクは安全性の確認状況を踏まえて決めるとしている
  • 申し込み済みの寄付の返礼品の発送や、受領証明書の発行に遅れが出るか
  • パスワードのハッシュ化の方式と、ふるさとチョイス自体のパスワードの再設定の扱い
  • 流出した情報が実際に悪用されているか。発表には悪用についての記載がない

出典

一次情報

報道

← 記事一覧へ