ふるさと納税サイト「ふるさとチョイス」を運営するトラストバンクは10月20日、不正アクセスによって会員4,454,097件の個人情報が外部に流出したと発表した。流出が確認されたのは氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、そして寄附控除試算額で、サービスは10月19日から止まっており、再開の時期は決まっていない。
トラストバンク 10月20日発表 (件数・流出項目・経緯・寄附者へのお願い)株式会社トラストバンク
連絡先と住所がそろって流出した以上、会員だった人には二つの備えが要る。ほかのサービスのパスワードを見直すことと、ふるさとチョイスや自治体を名乗る連絡を疑ってかかることだ。
発表で分かっていること
同社によると、10月19日に通常と異なるアクセスの傾向に気づいて調べたところ、10月17日に不正アクセスがあったことが分かった。同日15時50分に関連サービスを止め、外部の専門家と調査を進めている。
- 対象: 「ふるさとチョイス」の会員情報 4,454,097件
- 流出した項目: 氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額
- 届け出: 10月20日に個人情報保護委員会へ報告済み。10月21日に警察へ被害を申告する予定
- 件数と項目: 現時点で確認できた範囲で、今後の調査で変わる可能性がある
発表文はクレジットカード情報に触れていない。流出したとも、していないとも書かれていない。10月20日夜の時点で、サイトのトップページはお詫びのお知らせだけを表示している。
「寄附控除試算額」が意味すること
項目のなかで、ふるさと納税サイトならではなのが寄附控除試算額だ。ふるさと納税で税金の控除を受けられる額の目安は、年収や家族構成を入れて試算するのが一般的だ。試算額そのものは年収ではないが、家計の規模をうかがわせる数字ではある。
氏名と住所、電話番号に、その目安がひも付いて出回った。だます側から見れば、誰にどの程度の話を持ちかけるかを選ぶ材料になりうる。返礼品や寄附、税金の還付を口実にした連絡は、この先しばらく警戒しておきたい。
会員だった人が、いまできること
同社が寄附者に求めているのは次の点だ。
- ふるさとチョイスと同じメールアドレスとパスワードの組み合わせをほかのサービスで使っているなら、そちらのパスワードを変える
- 同社や関係先を装った不審なメール、SMS、電話、郵便物に注意する
- 身に覚えのないメールや SMS の URL や添付ファイルは開かず、不審なサイトにパスワードなどを入力しない
パスワードはハッシュ化されていた。そのままの文字列で保存されていたわけではないが、短いものや推測しやすいものは、総当たりで元の文字列に戻されるおそれがある。どのサービスで同じパスワードを使っていたかを思い出すのが、いちばん手間のかかる作業になる。
年内に寄附を予定していた人は、ふるさとチョイスがいつ戻るか分からない前提で考えたほうがよい。ほかのふるさと納税サイトや、寄附先の自治体の窓口を使う道もある。ただし、別のサイトで新たに会員登録をするなら、そこでも使い回しのパスワードは避けたい。
次に確かめたいのは、トラストバンクのニュースルームに載る続報だ。同社は、流出した項目と件数、再発防止策を確定し次第知らせるとしており、クレジットカード情報の扱いやサービスの再開時期もそこで示されるはずだ。問い合わせ先は toiawase@trustbank.co.jp。
ことば
- ハッシュ化 — パスワードを、元に戻しにくい別の文字列に変換して保存する方法。そのままの文字列よりは安全だが、短いパスワードや辞書にある単語は、候補を片っ端から試すことで突き止められることがある。
- 寄附控除試算額 — ふるさと納税で、税金の控除を受けられる寄附額の目安を試算した結果。年収や家族構成を入れて計算するのが一般的なため、家計の規模をうかがわせる情報にもなる。
- 個人情報保護委員会 — 個人情報の取り扱いを監督する国の機関。一定の規模や内容の漏えいが起きた事業者は、ここへの報告が求められる。今回トラストバンクは発表当日に報告を済ませた。
年収の目安まで預けているサイトは、あなたの手元にいくつあるだろうか？
