ふるさとチョイスの情報漏洩、流出した「控除上限試算額」の意味｜通知メールの読み方

10月20日、ふるさと納税サイト「ふるさとチョイス」から、会員情報445万件が流出したと発表されました。運営会社のトラストバンクからは、10月21日以降に会員へ通知メールが届いています。

流出した項目に、少し見慣れない「寄附控除試算額」があります。ニュースでもAIの要約でも、並んでいるだけで意味までは書かれていません。

結論から言うと、シミュレーションに入力した年収や家族構成は、流出が確認されていません。ただ、流出した「控除上限試算額」は、年収や家族構成をもとに計算される数字です。この記事では、その関係と、2種類ある通知メールの読み方を整理します。

この記事は、2026年10月28日時点のトラストバンクの発表（第4報）と、10月26日のよくある質問をもとにしています。

---

ふるさとチョイスの情報漏洩、流出したのは6項目

10月17日に不正アクセスがあり、トラストバンクは19日の15時50分に関連サービスを止めました。翌20日に発表した流出件数は、会員情報4,454,097件です（トラストバンク「不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ」）。

発表とよくある質問の中身を表にしました。

区分	中身（トラストバンクの発表）
流出した項目	氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額
流出が確認されていないもの	シミュレーションで入力した年収や家族構成
クレジットカード	寄附者2名の下4桁・名義・有効期限。2名には個別に連絡済み。それ以外の流出は確認されていない。この情報だけで決済が行われることはないと説明されている
パスワード	全会員の現在のパスワードを無効化。再開後に設定し直す
原因	検知した脆弱性について、外部の専門家と調査中

件数や項目は、今後の調査で変わる可能性があるとされています。寄附者向けのサイトは10月28日の第4報の時点でも止まったままで、再開の時期は決まっていません（トラストバンク 第4報）。

通知メールは2種類。「確認されませんでした」の意味

トラストバンクは10月21日から、会員に通知メールを送っています。中身は2種類です（トラストバンク「よくあるご質問（寄附者様向け）」）。

届いたメール	意味	やること
流出した項目が書かれたメール	その項目の流出が確認された	下の「今日からやること」をすべて
流出が確認されていない旨のメール	現時点では、そのアカウントの流出は確認されていない	使い回したパスワードの見直しと、偽の連絡への備え
両方届いた	同じメールアドレスで、複数のアカウントを登録している	流出したほうの扱いで考える
何も届かない・中身が分からない	よくある質問では、問い合わせ窓口への連絡を案内	窓口はトラストバンクの発表ページで確かめる

昔作ったアカウントを忘れていて、そちらだけ流出していた、ということも意外とありえます。

注意したいのは、「確認されていない」は「流出していない」と言い切った表現ではない点です。前述の通り、件数は調査で変わる可能性があります。安心しきらず、続報は見ておくのがよさそうです。

また、よくある質問には、本物の通知メールと偽物を見分ける方法が書かれていません。届いたメールのリンクは開かず、トラストバンクのニュースルームを自分で開いて照らし合わせてください。

漏えいの発表が続く時期は、「お詫び」や「返金」を名乗る偽メールも出回ります。本物と偽物の違いと、メールの外で確かめる方法は、こちらにまとめました。

「控除上限試算額」とは何か。年収とどう関係するか

控除上限試算額は、ふるさとチョイスのシミュレーションで計算された金額のことです。自己負担2,000円で済む寄附額の上限の目安、と言い換えるとわかりやすいと思います。

よくある質問によると、流出が確認されたのはこの計算結果だけです。入力した年収や家族構成は、流出が確認されていません。

ただ、控除上限の目安は、給与収入や家族構成などをもとに計算されます。所得税率や住民税の所得割額が、上限の計算に関わるためです（国税庁「No.1155 ふるさと納税（寄附金控除）」）。

つまり、入力した数字そのものは漏れていなくても、計算結果から大まかな年収帯の目安を推測される可能性はあります。これは発表に書かれたことではなく、仕組みからの推論です。家族構成や住宅ローン控除などの前提で上限は変わるので、正確な年収が分かるわけではありません。

項目	流出	何が分かりうるか（推論）
入力した年収・家族構成	確認されていない	—
控除上限試算額（計算結果）	流出	大まかな年収帯の目安。正確な年収ではない
氏名・住所・電話・メール	流出	上の目安と組み合わさると、「誰が・どこに住んでいて・どのくらいの収入帯か」の手がかりになる

正直、ここがいちばん引っかかった点です。住所や電話番号に収入帯の手がかりが付くと、狙う相手を選ぶ材料になりえます。とはいえ、控除上限試算額が全会員に入っていたのか、シミュレーションを使った人だけなのかは発表に書かれていません。

提携先サイトで寄附した人と、10月5日の別件

ふるさとチョイスの仕組みは、ほかのサイトの寄附受付にも使われています。よくある質問によると、申し込みから決済まで提携先のサイトで完結する寄附は、個人情報の流出が確認されていません（前述のよくある質問）。

紛らわしいのが、10月5日の別件です。Amazon Payを使った寄附手続きの不具合で、申込データ254件が別の利用者のブラウザ上で閲覧可能な状態になっていました（トラストバンク 10月5日の発表）。不正な決済は確認されていないとされています。今回の445万件とは原因も件数も違うので、日付を見て区別してください。

会員だった人が、今日からやること

ふるさとチョイスのパスワードは、すでに全会員分が無効化されています。気をつけたいのは、ほかのサービスと、漏れた情報を使って届く連絡のほうです。

1. ふるさとチョイスと同じメールアドレスとパスワードを使っているサービスがあれば、そちらのパスワードを変える
2. ふるさと納税、税金の還付、自治体、お礼の品の配送を名乗る連絡は、リンクを開かずに公式のページと照らし合わせる
3. 寄附額や控除の上限を言い当ててくる連絡があっても、それだけで本物と判断しない
4. お礼の品の遅れ、ワンストップ特例の申請、確定申告の扱いは、トラストバンクの再開の案内と、寄附先の自治体のページで確かめる

広告（PR）
届いたメールやSMSのリンクを開かないのが基本です。そのうえで、うっかり開いてしまったときの備えとして、フィッシング対策の機能を持つセキュリティソフトを入れておく方法もあります。
AI時代のネット詐欺からあなたと家族を守るセキュリティソフト
※ESETの公式サイト（広告）に移動します。ソフトを入れても、すべての詐欺を防げるわけではありません

トラストバンクも、同社や関係先を装った不審なメール、SMS、電話、郵便物への注意を呼びかけています（前述の10月20日の発表）。住所が漏れたので、郵便物も要注意です。

電話番号が漏れたかどうかを外部のサイトで調べたくなった方は、電話番号の流出チェックサイト 入力欄まで確かめた対応表も参考にしてください。調べるサイト自体が偽物、というケースもあります。

気をつけたい点

ワンストップ特例は、手続きの再開状況を確かめる

よくある質問では、ワンストップ特例と確定申告の手続きは「再開目処や手続きにつきましては、決まり次第速やかにお知らせいたします」とされています。

申請には期限があります。たとえば名古屋市は、申請書の期限を「ご寄附いただいた翌年の1月10日（必着）」と案内しています（名古屋市 ふるさと納税ワンストップ特例の案内）。寄附先の自治体にも、手続きの方法を確かめておくと安心です。

年末の寄附を別の窓口に移すと、預け先が増える

前述の通り再開時期は未定なので、年内に寄附したい人は、ほかのポータルサイトか、受け付けている自治体なら直接の申し込みを考えることになると思います。

ただ、そのぶん住所や電話番号を預ける先が1つ増えます。新しく登録するなら、ふるさとチョイスと同じパスワードは使わないでください。

【現役SEの視点】寄附を受けるのは自治体、ポータルはその委託先

各地の自治体が一斉に注意喚起を出しているのには、理由があります。ふるさと納税の情報は、1か所にあるわけではないからです。

寄附を受けるのは自治体です。ポータルサイトは、自治体が寄附の受付などを任せている事業者にあたります。今回もトラストバンクは、自治体が寄附情報を確かめて手続きをするための管理システムを、寄附者向けサイトより先に再開しました（前述のよくある質問）。

一般に、お礼の品がある寄附では、寄附者の情報が次のような場所で扱われます。どの事業者が扱うかは、寄附の方法や自治体の運用によって違います。

• ポータルサイト（会員情報、寄附の申し込み）
• 寄附先の自治体（受領証明書やワンストップ特例の手続き）
• お礼の品を送る事業者（配送先）

運用の仕事をしていると、システムの数より「情報が置かれている場所の数」のほうが、事故のときに効いてくると感じます。何をどこに預けたか分からないと、届いた連絡の真偽も判断できません。

利用者から見えない委託先で事故が起きた例は、ほかにもあります。企業向けのメール配信サービス「アララメッセージ」の件では、店がどの配信会社を使っているか利用者からは分からず、自分が対象かを個人で確かめる手段も案内されていません。

年末にかけては、寄附した自治体・寄附日・使ったサイトを一覧にしておくのがおすすめです。ワンストップ特例の確認にも、偽の連絡を見分けるときにも、同じ一覧が使えます。

漏えいのニュースが続く時期は、確認ツールを名乗る偽サイトも出やすくなります。その見分け方はhave i been pwned 偽サイトに注意｜安全性と本物の見分け方にまとめています。

まとめ

• ふるさとチョイスで流出したのは、氏名・メールアドレス・住所・電話番号・ハッシュ化されたパスワード・寄附控除試算額の6項目、4,454,097件。カードは2名分で、本人に連絡済みと発表されている
• 通知メールは「流出した項目が書かれたもの」と「確認されていない旨のもの」の2種類。両方届いたら、同じアドレスで複数のアカウントがある
• 入力した年収や家族構成は流出が確認されていない。ただ、控除上限試算額は年収や家族構成をもとに計算される数字なので、大まかな年収帯の目安になりうる（仕組みからの推論）
• 申し込みから決済まで提携先で完結する寄附は、流出が確認されていない。10月5日の254件は別件
• やることは、使い回したパスワードの変更と、ふるさと納税・税金・自治体を名乗る連絡への警戒。確認は自分で開いた公式ページから
• 寄附した自治体・寄附日・使ったサイトを書き出しておくと、ワンストップ特例の確認にも偽の連絡の見分けにも使える

引っかかった点

• 「年収は流出していない」と「控除上限試算額は流出した」が並んでいる点。計算の入口と出口が別の扱いになっていて、発表だけ読むと安心してよいのか迷いました
• 控除上限試算額が、全会員に入っていたのか、シミュレーションを使った人だけなのかが、発表から読み取れない点
• よくある質問に、本物の通知メールの見分け方が書かれていない点。通知を装ったメールが届いたとき、読者が頼れる基準がありません

参考にした一次資料

• トラストバンク「不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ」（2026年10月20日）
• トラストバンク「不正アクセスによる個人情報流出に関するよくあるご質問（寄附者様向け）」（2026年10月26日）
• トラストバンク「不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ（第4報）」（2026年10月28日）
• トラストバンク「『ふるさとチョイス』における個人情報の漏えいに関するお詫びとお知らせ」（2026年10月5日）
• トラストバンク ニュースルーム
• 国税庁「No.1155 ふるさと納税（寄附金控除）」（令和8年4月1日現在法令等）
• 名古屋市 ふるさと納税ワンストップ特例の案内（2026年5月27日更新）