チェンジホールディングス（3962）の子会社で「ふるさとチョイス」を運営するトラストバンクは、2026年11月6日12時にWeb版の寄附受付を再開する。チェンジホールディングスが情報流出に関する第5報で明らかにした。外部の専門家や専門機関の協力のもと、Web版で必要な安全対策と検証を終えたという。
停止が続くサービス
Web版の再開は一部にとどまる。「ふるさとチョイス」のアプリ版とチョイスPayは「準備完了後」に再開する予定で、時期は示されていない。チェンジホールディングスは、不正アクセスに関する投資家向けの最終報を後日公表する予定だとしている。
発表によると、今回のWeb版再開に先立ち2つのシステムが復旧している。自治体や返礼品の取扱事業者が寄附の確認や発送手配に使う寄附管理システムは10月26日に再開した。提携先サイト内で寄附の申し込みから決済までが完結するサービスの連携システムも10月28日に再開している。一方、アプリ版とチョイスPayの再開時期は明記されていない。提携先サイトとの連携に関する過去の経緯は、過去のTokyo Briefの記事を参照。
流出の範囲
発表によると、外部流出が確認された件数は「ふるさとチョイス」と関連サービスで計445万4097件に上る。対象となった会員情報は氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額。発表は件数を集計したもので、重複を除いた人数かどうかは明記していない。
この445万4097件に含まれる寄附者5人については、さらに多くの情報が流出または改ざんされた。各項目の対象者には重複があり、5人は各項目の単純合計ではなく実人数である。内訳は以下の通り。
| 項目 | 対象寄附者数 |
|---|---|
| ポイント履歴 | 5 |
| 寄附履歴 | 2 |
| クレジットカード情報（下4桁、名義、有効期限） | 2 |
| 生年月日 | 2 |
| 送付先 | 1 |
| 住所の一部削除（県名） | 1 |
発表によると、クレジットカード情報（下4桁、名義、有効期限）はトラストバンクのシステムには保存されていない。会員が保存済みカード情報の表示ページを開くたび決済代行会社から取得する仕組みで、会員2人について第三者が同ページにアクセスしたことが確認された。この情報だけでカード決済を行うことはできないとしている。
通知状況と業績への影響
トラストバンクは10月21日から、登録会員に対し個人情報の流出の有無や対象項目を個別にメールで通知しているほか、5人の寄附者には直接連絡している。
チェンジホールディングスの2027年3月期連結業績への影響は現在精査中としている。開示すべき事項が生じた場合や、継続中の調査で新たな事実が確定した場合には速やかに公表するとしている。