流出した会員情報と件数
トラストバンクが運営するふるさと納税サイト「ふるさとチョイス」で第三者による不正アクセスがあり、会員情報445万4,097件が外部に流出しました。対象には氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額が含まれます。
流出件数と情報項目は、調査時点で確認された内容です。今後の調査で件数や項目が変わる可能性があります。
不正アクセスは10月17日に発生しました。トラストバンクは10月19日に通常と異なるアクセス傾向を把握して調査を始め、個人情報が外部に流出したことも判明しました。
サービス停止と調査の状況
トラストバンクは被害拡大の防止と安全確保のため、10月19日15時50分に「ふるさとチョイス」の関連サービスを停止しました。再開時期は未定で、安全性を確認してから決めるとしています。
同社は外部の専門家とともに、不正アクセスの原因と影響範囲を調べています。今回検知した脆弱性の詳細調査に加え、セキュリティ対策、監視体制、情報管理体制を強化する方針です。
個人情報保護委員会への報告は10月20日に完了し、所轄警察署には10月21日に被害を申告する予定です。調査で判明した情報や再発防止策は、確定後に公表するとしています。
寄附控除試算額が示す情報
ふるさと納税では、寄附額のうち2,000円を超える部分が、一定の上限まで所得税と個人住民税から控除されます。控除額の計算には所得税率が関わり、税率は年収に応じて0～45％の範囲で変わります。
控除には所得税の総所得金額等に対する上限があり、住民税の控除にも上限があります。住民税の特例控除は所得割額の2割が上限で、寄附額や所得の状況によって控除額が変わります。
このため、寄附控除試算額は所得や税額に関わる情報です。金額から所得状況を推し量る手掛かりになりうる情報が、氏名や連絡先などとともに流出対象に含まれました。
ハッシュ化されたパスワードへの注意
ハッシュ化は、パスワードを元に戻しにくい値へ変換して保存する方法です。ただし、ハッシュ化されていても解読される可能性はあり、方式によっては漏えい後に解析されることがあります。
利用者ごとに異なるソルトを加えると、同じパスワードでも別のハッシュ値になります。ソルトは事前に作られた対応表の使い回しを難しくし、ストレッチングと呼ばれる反復処理は、パスワード候補を試す速度を抑えます。
流出情報にはハッシュ化されたパスワードが含まれますが、トラストバンクは保存方式の詳細を公表していません。「ふるさとチョイス」と同じメールアドレスとパスワードを別サービスでも使っている場合、同社は別サービス側のパスワード変更を呼びかけています。また、同社や関係先を装ったメール、SMS、電話、郵便物に注意し、記載されたURLや添付ファイルを開いたり、不審なサイトに情報を入力したりしないよう案内しています。
