ふるさとチョイス445万件流出｜寄附済みの人の証明書・ワンストップ申請と年末の寄附

何が起きたか——445万件の会員情報が流出、サイトは停止中

トラストバンクの発表によると、10月17日に不正アクセスがあり、19日に気づいてサービスを止めました。経緯は次のとおりです。

流出が確認された情報は次のとおりです。件数と項目は、今後の調査で変わる可能性があるとされています。

カード情報は、マイページの表示画面に第三者がアクセスしたもので、トラストバンクのシステムには保存されていません。この情報だけではカード決済はできないと説明されています。5人には個別に連絡済みです。［トラストバンク 第2報 2026年10月23日］

会員がいまやること——パスワードの使い回しと、なりすましの連絡

トラストバンクが会員に求めているのは2つです。

1. 同じメールアドレスとパスワードを他のサービスでも使っていたら、そちらのパスワードを変える。パスワードはハッシュ化されていますが、使い回していると他のサービスに不正ログインされるおそれがあります。
2. トラストバンクや関係先を名乗るメール・SMS・電話・郵便物に注意する。心当たりのないメッセージのURLや添付ファイルは開かず、個人情報やパスワードを入力しない。

会員には10月21日から個別のメールが送られています。本物の連絡が届いている時期は、それに似せた偽物が紛れ込みやすくなります。メールのリンクは押さず、トラストバンクの公式サイトで同じ内容が出ているかを確かめてください。鹿児島市は「市がカード情報や口座番号を、電話やメールで尋ねることはない」と案内しています。［鹿児島市 2026年10月21日］

寄附控除試算額は、サイトで控除の上限を試算したときの金額です。上限額は年収や家族構成から計算するので、収入のおおよその手がかりになりえます。「控除の手続きが未完了」「還付金がある」など、お金の手続きを装う連絡には特に注意してください。税金の還付をかたる手口は国税庁をかたる詐欺メールでまとめています。

寄附済みの人の税金の手続き——証明書もワンストップも相手は自治体

サイトが止まっていても、税金の手続きの相手は寄附先の自治体です。総務省の説明では、確定申告に使う受領証明書は寄附先の自治体が出し、ワンストップ特例の申請書も寄附先の自治体に出します。ポータルサイトは申込みと支払いを取り次ぐ役割です。［総務省 ふるさと納税の流れ］

ふるさとチョイスは、国税庁長官が指定する「特定事業者」の一つで、1年分の寄附をまとめた証明書を出せます。ただし、確定申告では寄附ごとの受領証明書を添付するのが基本で、まとめた証明書は「代わりに使える」ものです。［国税庁 寄附金控除に関する証明書について］自治体から届く受領証明書は捨てずに保管してください。

ワンストップ特例の期限は寄附した翌年の1月10日です（土日祝日なら翌開庁日）。「確定申告をしないこと」が条件なので、申請書を出したあとに確定申告をすると、ワンストップ特例は無効になります。［港区 ふるさと納税ワンストップ特例制度のご案内］医療費控除などで確定申告をする人は、ふるさと納税も申告に入れます（ワンストップ特例は確定申告で全部無効）。

年末までの寄附をどうするか——止まっているのは連携サイトも含めて10サイト

ふるさとチョイスと仕組みを共有している連携サイトでも、寄附の受付が止まっています。鹿児島市は10月21日時点で次の10サイトを挙げています。［鹿児島市 2026年10月21日］

• ふるさとチョイス
• auPAYふるさと納税、セゾンのふるさと納税、KABU＆ふるさと納税、Vふるさと納税、マルイふるさと納税
• ケアネットふるさと納税、ふるさと納税デパート、ニフティふるさと納税、YAMAPふるさと納税

連携サイトの会員情報が流出の対象に含まれるかは、各サイトの案内で確認してください。

今年の控除にするには、12月31日までの寄附が必要です。サイトの再開を待たずに寄附する方法は、寄附先の自治体の公式サイト（自前の受付ページを持つ自治体もある）か、ほかのポータルサイトです。鹿児島市も、自前の特設サイトや他のポータルサイトからの申込みを案内しています。

別のサイトに切り替えるときに気をつけたいのは2つです。

• 控除の上限は、サイトごとではなく1年の合計。ふるさとチョイスで寄附した分と、ほかのサイトで寄附する分を足して上限に収める。上限の目安は会社員のふるさと納税の年収・家族構成別の表で確かめられる
• ワンストップ特例の「5自治体」も合計で数える。サイトが違っても、寄附先の自治体が合わせて6つ以上になれば確定申告が必要。同じ自治体に何回寄附しても1つと数える（港区の案内）

まとめ

• ふるさとチョイスの会員情報4,454,097件が流出。氏名・住所・電話番号・メール・ハッシュ化パスワード・寄附控除試算額
• 同じパスワードを使い回しているサービスは変更し、トラストバンクや自治体を名乗る連絡のリンクは開かない
• 受領証明書もワンストップ特例の申請書も、相手は寄附先の自治体。申請書は翌年1月10日まで
• 連携サイトを含む10サイトが停止中。年内に別の方法で寄附するなら、上限と5自治体は全サイトの合計で数える

参考リンク（出典）

• トラストバンク「不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ」（2026年10月20日）
• トラストバンク「同（第2報）」（2026年10月23日）
• 鹿児島市「不正アクセスによる『ふるさとチョイス』の個人情報の流出」（2026年10月21日）
• 新潟県「ふるさとチョイス」の個人情報流出について（2026年10月21日）
• 中央区「ふるさとチョイス」への不正アクセスについて（2026年10月21日）
• 総務省 ふるさと納税ポータルサイト「ふるさと納税の流れ」
• 総務省 ふるさと納税ポータルサイト「税金の控除について」
• 国税庁「ふるさと納税に係る寄附金控除に関する証明書について」・国税庁長官が指定した特定事業者（令和8年6月16日現在）
• 港区「ふるさと納税ワンストップ特例制度のご案内」

2026年10月25日時点の情報です。流出の件数・項目、サービスの再開時期、寄附や証明書の扱いはトラストバンクの続報で変わる可能性があります。寄附の状況や証明書については、寄附先の自治体にご確認ください。