トラストバンク「ふるさとチョイス」の不正アクセス（会員情報445万4,097件）：氏名・住所・ハッシュ化されたパスワードなどの流出と、寄附者がやること

流出した項目にはハッシュ化されたパスワードが含まれます。ハッシュ化は、パスワードをそのまま保存しないための変換です。ただし、短いものや推測されやすいものは、一般に時間をかければ元のパスワードを割り出される場合があります（仕組みは パスワードのハッシュ化とは）。

同社は、ふるさとチョイスと同じメールアドレスとパスワードの組み合わせを他のサービスでも使っている場合、他のサービスのパスワードを変えるよう求めています。ネット通販、ポイントサービス、メールなど、お金や個人情報につながるサービスから先に変え、使えるところでは2段階認証を設定してください（二要素認証はどれが安全か）。

氏名・住所・電話番号・メールアドレスがそろうと、名前を呼びかける本物らしい偽の連絡が作れます。ふるさと納税の寄附者には、お礼の品の発送や寄附の手続きについての連絡が届いても不自然ではないため、そうした内容の偽の連絡に気づきにくくなります。

同社は、同社や関係先を装った不審なメール、SMS、電話、郵便物に注意し、身に覚えのないURLや添付ファイルを開かないよう呼びかけています。確かめるときは、自分で開いた公式サイトや自治体の公式ページを使ってください（見分け方は フィッシングとは）。

同社は、不審なWebサイトに個人情報やパスワードなどを入力しないよう求めています。この件を理由に、カード番号の再登録や口座の情報、パスワードを利用者に尋ねるという記載は発表にありません。

「お詫び」「返金」「お礼の品の再送」などを理由にこうした情報を求める電話や郵便物が来ても応じず、いったん切って公式の窓口で確かめてください。

同社は、会員に対して10月21日から順次、個人情報の流出の有無と、流出が確認された項目を個別にメールで知らせているとしています。

本物のお知らせと、それを装った偽メールが同じ時期に届く可能性があります。メールが届いたら、本文のリンクからログインや手続きをせず、トラストバンクのニュースルームに出ている発表と内容を照らし合わせてください。問い合わせ先として発表に載っているのはメール（toiawase@trustbank.co.jp）です。

ワンストップ特例の申請や確定申告、寄附受領証明書への影響について、10月25日時点で同社の発表に記載はありません。サービスは10月19日から止まっており、ふるさとチョイスを通じた寄附も受け付けられていません（泉大津市など自治体の案内）。手続きの案内は、同社や寄附先の自治体の公式ページで確かめてください。

同社によれば、保存済みカードの情報は、マイページで表示するたびに決済代行会社から取得する仕組みで、同社のシステムには保存されていませんでした。表示されるのも下4桁・名義・有効期限に限られます。カードを扱う会員サイトでは、カード番号を自社で持たない構成（決済代行会社の保管機能を使う）にしておくと、侵入を防げなかった場合の被害の範囲を小さくできます。

今回、流出したパスワードはハッシュ化されていました。ハッシュ化の強さ（ソルトの有無、計算の重い方式か）は公表されていません。一般に、ソルト付きで計算の重い方式（bcrypt、scrypt、Argon2 など）を使うと、元のパスワードを割り出すのにかかる時間を大きく延ばせます（パスワードの保存とハッシュ化・ソルト）。同社は第1報で、使い回し先のパスワード変更を利用者に求めました。

同社は、通常と異なるアクセス傾向に気づいて確認し、不正アクセスから2日後の10月19日にサービスを止めました。会員情報へのアクセスの件数や頻度を日ごとに見て、普段と違う量になったら通知する仕組みを置き、通知が来たら誰がサービスを止める判断をするかを決めておくと、気づいてから止めるまでを短くできます。

流出した項目には寄附控除試算額も含まれていました。一般に、利用者の便利のために保存している計算結果や履歴は、残しておく必要と期間を決め、不要なものは持たないようにすると、万一のときに漏れる項目を減らせます（同社がこの項目をどのように保存していたかは公表されていません）。