チェンジホールディングス（3962）は、子会社のトラストバンクが11月9日15時にふるさとチョイスアプリでの寄附受付を再開すると発表した。これにより、個人情報流出後に停止が続いているサービスはチョイスPayのみとなる。この事案に関する第6報では、チョイスPayは準備完了後に再開を予定しているとしており、具体的な日時は示していない。
再開済みのサービスと時期
第6報によると、トラストバンクはサービスごとに段階的に再開を進めてきた。自治体や返礼品の取扱事業者が寄附受付の確認や発送手配を行う業務システムである寄附管理システムは10月26日に再開した。提携先サイト内で寄附の申し込みから決済までが完結するサービスに係る連携システムは10月28日に再開し、Web版での寄附受付は11月6日12時に再開した。
主要な寄附チャネルのうち、アプリの再開が最後となる。チェンジホールディングスによると、トラストバンクが安全対策を実施し、外部の専門家とともに検証を行ったうえで再開に向けた安全性を確認した。アプリの再開により、Web版とアプリ版の双方で寄附が可能になる。適時開示では「再開いたします」との表現が使われており、15時の再開は同日付の発表文における予定として記され、再開完了の確認としては報告されていない。先行したWeb版の再開については、Tokyo Briefの過去記事を参照。
流出した情報の内容
発表によると、流出が確認されたふるさとチョイスの会員情報は445万4097件に上る。情報項目は氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額。
ごく一部の寄附者にはさらに深刻な影響が出た。445万4097件に含まれる寄附者5人については、追加の情報流出や改ざんも判明した。内訳は、ポイント履歴が5人、寄附履歴が2人、生年月日が2人、クレジットカード情報の一部が2人、送付先が1人で、住所の一部（県名）の削除が1人だった。発表によると、各項目の対象者には重複があり、対象となる寄附者は合計5人という。
クレジットカード情報は下4桁、名義、有効期限の3項目。トラストバンクによると、同社はこれらの情報を保存しておらず、会員のマイページ上の保存済みカード情報表示ページを開くたびに決済代行会社から取得する仕組みとなっている。発表では、会員2人について第三者がこのページにアクセスしたとしており、この情報だけでカード決済を行うことはできないという。
トラストバンクは10月21日から順次、個人情報の流出の有無および流出した情報項目について会員に個別にメールを送信しているほか、該当する寄附者5人には個別に連絡した。
今後の対応と未確定事項
トラストバンクは引き続き、外部の専門家とともに詳細調査を進めるとともに、システムの監視強化や継続的なシステム点検に取り組んでいる。チェンジホールディングスは、新たな事実が判明した場合は内容が確定次第開示するとしている。また、チョイスPayは準備完了後に再開を予定しており、後日、この事案に関する投資家向けの最終報を予定していると説明した。
チェンジホールディングスの2027年3月期連結業績への影響は現在精査中であり、今回の発表では見通しを示していない。