ふるさとチョイスが突然停止　福山市など全国の自治体に影響

ふるさとチョイスを運営する株式会社トラストバンクは10月19日、不正アクセスが疑われる事象を検知したとして、関連サービスを一時停止した。同社は専門チームによる調査を進めており、事実関係や影響範囲の確認を急いでいる。

ITmedia NEWSなどによると、19日午後4時半の時点でサイトにはサービス停止を知らせる画面が表示されていた。広島県福山市にも同日午後4時ごろ、トラストバンクから連絡が入り、同サイトを通じた返礼品の掲載や寄付受付が停止された。影響はほかの寄付サイトにも広がった。JR東日本グループが運営する「JRE MALLふるさと納税」は、ふるさとチョイスから返礼品情報の提供を受けている一部自治体について、データ連携を中止した。対象となる自治体の返礼品は寄付できない状態となり、再開時期は未定としている。東京都西東京市では、ふるさとチョイス本体に加え、ガバメントクラウドファンディングや連携するパートナーサイトも停止対象となった。民間のポータルサイトを通じて寄付を集める仕組みが広がる一方、運営会社のトラブルが複数の窓口へ波及する実態が浮かび上がった。

4月には2688件の不正ログイン　寄付履歴も閲覧された可能性

ふるさとチョイスでは、2026年4月にも不正アクセスが発生していた。トラストバンクの発表によると、4月14日から15日にかけて、2688件のアカウントで第三者による不正ログインが確認された。会員情報や寄付履歴などが閲覧された可能性があり、外部で入手したIDやパスワードを悪用する「リスト型攻撃」が疑われた。リスト型攻撃とは、別のサービスなどから流出した認証情報を使い、複数のアカウントへのログインを試みる手口だ。利用者が複数のサイトで同じパスワードを使い回している場合、被害につながりやすい。トラストバンクは当時、ログイン機能のアクセス制限や監視を強化。対象時間帯には3件の寄付が確認されたものの、不正決済や具体的な金銭被害は確認されていないと説明した。

ふるさと納税サイトでは、氏名や住所に加え、どの自治体に、いくら寄付したのかという履歴も管理されている。寄付履歴を見れば、利用者が支援した地域や寄付金額を知ることができる。こうした情報が第三者に閲覧される可能性が生じたことは、個人情報を預ける利用者にとって深刻な問題だ。

10月には254件の個人情報漏洩を公表　不具合は約10カ月間

4月の不正ログインに続き、10月5日には別の個人情報漏洩問題が公表された。問題が発生したのは、Amazon Payを利用した寄付手続きだ。利用者が決済のためにAmazonの認証画面へ移動し、ふるさとチョイスに戻る際、別の利用者が入力した申込情報が表示される不具合が見つかった。対象期間は2025年11月13日から2026年9月7日までの約10カ月間。氏名、住所、電話番号、メールアドレス、返礼品の配送先などを含む254件の申込データが、別の利用者の画面で閲覧可能な状態となっていた。

原因は、Amazon Payの認証後に申込情報を復元する際のシステム処理にあった。利用者を正しく識別できない場合、本来なら処理を停止する必要がある。しかし、確認が不十分だったため、別の利用者の情報を呼び出す可能性があったという。254件のうち19件では申込画面まで進み、6件では決済手続きまで進んでいた。ただし、不正決済やクレジットカード情報の漏洩は確認されていない。

同社は9月にシステムを修正し、認証や決済処理の再点検、監視体制の強化などを進めると説明した。それから約1カ月半後、新たな不正アクセスの疑いによってサービスが停止した。4月の不正ログインと10月のシステム不具合では、原因も発生の仕組みも異なる。今回のサービス停止については調査が続いており、過去の問題との関連は明らかになっていない。

ふるさと納税は年末がピーク　2024年は利用者の半数が12月に寄付

今回のサービス停止が注目される理由の一つが、年末の寄付シーズンを控えていることだ。経済産業研究所（RIETI）の調査によると、2024年にふるさと納税を利用した人の50.6％が12月に寄付していた。2025年はポイント付与の制度変更を受けて9月に寄付が前倒しされたものの、12月の利用割合も29.1％に上った。

ふるさと納税は、その年の所得に応じて税控除を受けられる金額の目安が決まる。会社員の場合、年末になると年間の収入が見通せるため、控除上限額を確認してから寄付する人が増える。2026年分の税控除を受けるには、原則として12月31日までに寄付の決済を完了する必要がある。また、年末は米や肉、海産物などの返礼品を選び、正月に向けて準備を進める時期でもある。希望する返礼品を探していた利用者にとって、突然のサービス停止は予定を変更せざるを得ない出来事となった。

自治体側にとっても影響は小さくない。寄付受付が停止すれば、そのサイトから寄付金を集めることができなくなる。返礼品を提供する地域の農家や食品加工業者なども、受注機会を失う可能性がある。年末の需要を取り込めるかどうかは、今後の復旧状況にも左右されることになる。

一つのサイトが止まると寄付受付も停止　自治体が抱える課題

ふるさとチョイスのサービス停止は、自治体が民間の寄付受付システムに依存する仕組みも浮き彫りにした。ふるさと納税の寄付者は、各自治体の公式サイトだけでなく、複数のポータルサイトから返礼品を選べる。自治体側は、サイトの集客力や決済機能、寄付情報の管理機能などを活用し、全国から寄付を募っている。しかし今回、ふるさとチョイスと連携している別の寄付サイトでも、一部自治体の返礼品が申し込めなくなった。異なるサイトに見えても、内部では同じシステムやデータに依存している場合があるためだ。

広島県福山市では、ふるさとチョイス以外のサイトで寄付受付を継続している。複数の窓口を確保することが、サービス停止時の代替手段になることを示した。一方、連携するサイトを増やしても、同じシステムを利用していれば同時に影響を受ける可能性がある。自治体には、寄付受付の効率化だけでなく、トラブル発生時にどの窓口を使い、寄付者へどう案内するかという備えも求められる。

過去に寄付した人はどうすればいい？　不審なメールやSMSに注意

ふるさとチョイスを利用したことがある人は、今回の問題を受けて何を確認すればよいのか。まず確認したいのが、パスワードの使い回しだ。ふるさとチョイスと同じパスワードをほかのサービスでも使用している場合は、それぞれ異なるパスワードに変更しておきたい。ログイン認証コードの設定も有効な対策となる。特に注意したいのが、今回のトラブルに便乗したフィッシング詐欺だ。広島県福山市は、不正アクセスの問題を受けて、不審なメールなどによる二次被害の可能性を警告している。大阪府富田林市も、SMSや電話で氏名、住所、パスワード、口座情報などを求められても安易に伝えないよう呼びかけた。「個人情報が流出したため確認が必要」「返礼品の発送を再手続きしてください」といった連絡が届いた場合も、メールに記載されたリンクから入力せず、公式サイトの案内を確認することが重要だ。

また、これから寄付を予定している人は、寄付先自治体が案内する別の受付サイトを利用する方法がある。すでに申し込んだ返礼品については、寄付先自治体の公式情報を確認したい。

年末の寄付シーズンを前に問われるトラストバンクの説明責任

4月に2688件の不正ログインが発覚し、10月には約10カ月にわたるシステム不具合が公表された。そして19日、新たな不正アクセスの疑いで、ふるさとチョイスは関連サービスの停止に踏み切った。過去の問題では、その都度、システム修正や監視の強化が発表されてきた。それでも短期間に情報管理に関するトラブルが相次いだことは、利用者がサービスの安全性を考えるきっかけになるだろう。

今後、トラストバンクに求められるのは、今回の不正アクセスの原因と影響範囲を明らかにすることだ。どの情報が危険にさらされたのか、利用者にどのような対応が必要なのか。調査結果に加え、具体的な再発防止策についても説明が求められる。

ふるさと納税は自治体の財源を支え、地域の事業者に新たな販路を生み出してきた。その一方で、寄付者の個人情報や決済に関わる機能は、民間企業のシステムに集中している。利用者が増える年末を前に、ふるさとチョイスがいつ、どのような形でサービスを再開するのか。寄付者の安心と自治体の寄付受付を支えるためにも、トラストバンクの今後の対応が注目される。