ふるさとチョイスの不正ログイン｜2026年4月 2,688アカウント マイページ閲覧の可能性 会員情報・寄付履歴 確かめること 2026

ふるさとチョイスの不正ログインについて、運営会社の株式会社トラストバンクは2026年4月24日、2026年4月14日から15日にかけて第三者による不正ログインの試みがあり、2,688件のアカウントで不正アクセスが確認されたと発表しました。一部のアカウントではマイページ（会員情報）が第三者に閲覧された可能性があるとされ、クレジットカード情報はふるさとチョイスで保持していないため漏えいはないと明記されています。 ふるさとチョイスの会員がまずすることは、ふるさとチョイスと同じパスワードを他のサービスで使っていればそちらを先に変えること、ログイン認証コードを設定すること、トラストバンクや自治体を名乗ってパスワードや認証コードを聞く連絡に答えないことの3つです。 2026年11月1日時点で、4月の件について確定件数や調査結果の続報は公式に出ていません。

この記事は、2026年11月1日時点でトラストバンクの公式発表「ふるさとチョイスにおける不正ログインに関する状況報告とお願い」を開き直して確かめた内容だけで書いています。ふるさとチョイスでは2026年10月にも別の不正アクセスが発表されており、検索するとこの2つが混ざって出てきます。10月の件とは時期も中身も違うため、後半の節で分けて説明します。報道の数字は使っていません。

ふるさとチョイスの4月の不正ログインで何が起きたのか

ふるさとチョイスは、株式会社トラストバンクが運営するふるさと納税の総合サイトです。会員登録をすると、マイページから自分の会員情報や寄付の履歴を確かめたり、寄付を申し込んだりできます。

2026年4月24日の発表によると、ふるさとチョイスで第三者による不正ログインの試みが確認されました。トラストバンクは、何らかの経路で第三者に取得された可能性のある認証情報を使ったログインの試み、つまりリスト型攻撃の可能性が高いと考えていると説明しています。ふるさとチョイスのシステムそのものに侵入されたという説明ではなく、外で手に入れたメールアドレスとパスワードの組み合わせを使って、正面のログイン画面から入られたという見立てです。

発表の骨子は次のとおりです。

• 対象期間（暫定）は2026年4月14日（火）10時43分ごろから2026年4月15日（水）8時19分ごろまで
• 不正アクセスが確認されたアカウント数は2,688件
• 対象機能はログイン機能、マイページ会員情報、寄付履歴等
• 一部のアカウントで、第三者によりマイページ（会員情報）が閲覧された可能性がある（調査中）
• クレジットカード情報はふるさとチョイスで保持していないため、漏えいはない
• 該当時間帯に寄付は3件あったが、不正な決済が行われた事実は確認されていない

数字の読み方には注意が要ります。2,688件は「不正アクセスが確認されたアカウント」の数で、その全部でマイページが見られたという意味ではありません。発表は「一部のアカウントにおいて」閲覧された可能性があると書いており、閲覧の有無は調査中という扱いです。ここを言い切って「2,688人分の情報が流出した」と読むと、公式の発表より強い話になってしまいます。

また、「寄付が3件あった」というのは、その時間帯に該当のアカウントで寄付が行われていたという事実で、その3件が不正な寄付だったという発表ではありません。発表は、不正な決済が行われた事実は確認されていないとしています。

公表の経緯と2026年11月1日時点で分かっていること

4月の件の公式発表は、2026年4月24日の1本です。トラストバンクのニュースルームのお知らせ一覧を2026年11月1日に見たところ、4月24日の発表のあとに、4月の不正ログインについての続報（調査の結果、閲覧が確認された件数、確定した影響の範囲）は出ていません。

4月24日の発表の時点で分かっていたことを、時系列で並べると次のようになります。

日付	分かったこと
2026年4月14日10時43分ごろ	不正ログインの試みが始まった時刻（暫定）
2026年4月15日8時19分ごろ	不正ログインの試みが続いた最後の時刻（暫定）
2026年4月24日	トラストバンクが状況報告とお願いを公表。不正アクセスが確認されたアカウントは2,688件
2026年11月1日時点	4月の件の続報は公式に出ていない

発表の書き方からは、対象期間が「暫定」とされている点も読み取れます。アクセスの記録の分析が進めば、期間や件数が変わる可能性はあります。続報が出たときに数字が変わっていないかを確かめるには、トラストバンクの公式サイトの状況報告のページとニュースルームの一覧を見るのが確実です。

一方で、2026年10月には、ふるさとチョイスで別の不正アクセスが起き、10月19日から関連サービスが一時停止されました。2026年11月1日時点で、ふるさとチョイスのサイトは表示されず、トップには10月の件の重要なお知らせだけが出ています。4月の件で対象になった人も、いまはふるさとチョイスにログインできない状態です。この10月の件は4月の件の続報ではありません。違いは後半の節で説明します。

不正アクセスの対象になった機能と含まれない情報

4月24日の発表は、漏れた項目を「氏名」「住所」のような形では列挙していません。書かれているのは、不正アクセスの対象になった機能と、閲覧された可能性がある画面です。公式の言い方のまま、対象になったものと、会社が「含まれない」と書いたものを分けると次のようになります。

区分	公式の記載
不正アクセスの対象になった機能	ログイン機能、マイページ会員情報、寄付履歴等
閲覧された可能性がある画面	一部のアカウントのマイページ（会員情報）。調査中
含まれないもの	クレジットカード情報（ふるさとチョイスでは保持していないため漏えいはない）
決済への影響	該当時間帯に寄付は3件。不正な決済が行われた事実は確認されていない
改ざん・不正な寄付	マイページ内容の改ざん、不正な寄付行為は確認できていない

マイページの会員情報に、具体的にどの項目が表示されるのかは、発表に書かれていません。そのため、この記事では「住所や電話番号が見られた」とは書きません。ただ、ふるさと納税の申し込みでは、お礼の品の届け先や、税の控除の手続きに使う情報を登録するのが一般的です。自分がマイページにどんな情報を登録していたかを思い出しておくと、この後の備えを決めるときの目安になります。

カード情報が含まれない理由として、発表はふるさとチョイスがクレジットカード情報を保持していないことを挙げています。カード番号そのものがふるさとチョイスのシステムに保存されていないため、マイページを見られてもカード番号が出ることはない、という説明です。

原因はリスト型攻撃の可能性が高いと発表

トラストバンクは、今回の不正ログインについて、何らかの経路で第三者に取得された可能性のある認証情報を使ったログインの試み（リスト型攻撃）の可能性が高いとしています。引き続きアクセス状況の分析を進め、影響範囲の特定と原因の確認を続けると書いています。

現時点では、何らかの経路で第三者に取得された可能性のある認証情報を用いたログイン試行（リスト型攻撃）の可能性が高いと考えています。 出典: trustbank.co.jp

リスト型攻撃とは、どこか別のサービスから漏れたメールアドレスとパスワードの組み合わせを大量に用意し、それを別のサービスのログイン画面に次々と入れて、入れるアカウントを探す手口のことです。同じメールアドレスとパスワードを複数のサービスで使っている人ほど、入られやすくなります。

この手口のポイントは、狙われたサービスの側からパスワードが漏れたわけではない点にあります。ふるさとチョイスの発表も、ふるさとチョイスからパスワードが漏れたとは書いていません。入られたアカウントの持ち主は、別のどこかで漏れた組み合わせを、ふるさとチョイスでも使っていた可能性が高い、というのが会社の見立てです。

つまり、今回の件で本当に守るべきなのは、ふるさとチョイスのアカウントだけではありません。同じ組み合わせを使っている通販サイト、メール、銀行、SNSのアカウントにも、同じ手口が向けられるおそれがあります。発表が「特に複数のWebサービスと同一／類似のパスワードを利用している場合はご注意ください」と書いているのは、このためです。

パスワードの使い回しをやめる手順は、パスワードが漏洩したらどうなる｜変更の順番と使い回しの見直し方で、どのサービスから変えると被害を防ぎやすいかの順番とあわせて説明しています。

使い回しているパスワードを見つける手順

リスト型攻撃への備えで一番手間がかかるのは、同じパスワードをどのサービスで使っているかを思い出す作業です。記憶だけに頼ると漏れが出るので、手元の記録から順に洗い出します。

1. ブラウザやスマートフォンに保存されているパスワードの一覧を開く。iPhoneならパスワードのアプリ、Chromeならパスワードマネージャーの画面で、保存済みのサービスとパスワードを一覧で表示できる
2. 一覧の中で、ふるさとチョイスと同じパスワード、または一部だけ変えた似たパスワードを使っているサービスに印を付ける。多くのパスワード管理の機能には、使い回しを知らせる表示がある
3. 保存していないサービスは、メールの受信箱で「会員登録」「登録完了」「ご登録ありがとうございます」と検索し、過去に登録したサービスを書き出す
4. 印を付けたサービスを、前の節で示した順番（メール、お金を扱うもの、カードを登録しているもの、SNSや仕事のもの）で変えていく

自分のメールアドレスが、過去にどこかのサービスの漏えいに含まれていないかを調べる方法もあります。調べ方と結果の読み方は、Have I Been Pwnedの使い方｜メールアドレスとパスワードの漏洩を確認する方法と、大手クラウドの過去の漏洩で説明しています。結果に出てきたサービスで使っていたパスワードは、他のサービスで使っていないかを優先して確かめます。

似たパスワードにも注意が要ります。末尾の数字だけを変えたものや、サービス名の頭文字を付けただけのものは、攻撃する側も試してきます。発表が「同一／類似のパスワード」と書いているのはこのためで、変えるときは元のパスワードの面影が残らないものにします。

トラストバンクの対応

4月24日の発表に書かれているトラストバンクの対応は、次の4つです。

1. 不正アクセスへの対策として、不正なアクセスとみられる通信の特徴をもとに、ログイン機能に対するアクセス制限等の対策を実施した。同じような攻撃が再び行われる可能性を踏まえ、ログイン機能の防御対策を追加し、監視を強化している
2. 影響範囲の調査として、不正アクセスが確認された2,688件のアカウントについて、アカウント情報の変更の有無、マイページの閲覧状況、寄付履歴等を確認し、影響の有無を調べている
3. 関係機関への報告と警察への通報を行い、連携を進めている
4. マイページが閲覧された可能性のあるユーザーに順次連絡し、状況の確認とあわせて、パスワードの変更やログイン認証コードの設定等の対応を案内している

あわせて、4月24日の時点で確認できている被害の状況として、マイページの閲覧が疑われる人について具体的な金銭的被害（二次的被害）は確認されていないこと、マイページの内容の改ざんや不正な寄付行為も確認できていないことが書かれています。

補償やお詫びの品についての記載は、発表にありません。この記事でも、補償があるかどうかは推測しません。漏えいの補償が一般にどう扱われるかは、情報漏洩の補償はもらえるのか｜お詫び金・ポイントの例と利用者が確かめることで整理しています。

自分が対象かを確かめる方法

トラストバンクは、マイページが閲覧された可能性のあるユーザーに順次連絡すると発表しています。連絡の手段（メールか、別の方法か）は、4月24日の発表には書かれていません。

自分が対象かどうかを確かめる手がかりは、次の3つです。

• 2026年4月下旬ごろに、トラストバンクからふるさとチョイスの会員登録のメールアドレス宛てに、状況の確認やパスワード変更の案内が届いていないかを探す
• 2026年4月14日から15日に、身に覚えのないログインの通知や、パスワード変更の通知が届いていないかを探す
• ふるさとチョイスで使っていたパスワードを、他のサービスでも使っていなかったかを思い出す

メールを探すときは、受信箱だけでなく迷惑メールのフォルダも見ておきます。見つからない場合でも、それだけで対象ではないとは言い切れません。逆に、トラストバンクを名乗るメールが届いていても、その中のリンクからすぐにログインするのは避けます。本物の案内かどうかを確かめる方法は、後の節で説明します。

なお、2026年11月1日時点では、ふるさとチョイスのサイト自体が10月の件で停止しているため、マイページにログインしてログインの履歴を見ることはできません。サービスが再開したあとに、自分の登録情報や寄付の履歴に覚えのない変更がないかを確かめる、という順番になります。

ふるさとチョイスの会員がすること

発表が利用者に求めているのは、不審な連絡への注意、パスワードの変更、ログイン認証コードの設定の3つです。それぞれを、実際の手順に落とすと次のようになります。

同じパスワードを使っているサービスを先に変える

最初に手を付けるのは、ふるさとチョイスと同じメールアドレスとパスワードの組み合わせを使っている、別のサービスです。リスト型攻撃は、組み合わせが1つでも当たれば次々と別のサービスに試されるからです。

変える順番は、被害が大きくなりやすいものからにします。

1. メールのアカウント（パスワードの再設定のメールが届く先なので、ここを取られると他のサービスまで取られる）
2. 銀行、証券、クレジットカード、電子マネーなど、お金を扱うサービス
3. 通販サイトなど、カードを登録しているサービス
4. SNSや、仕事で使うチャットやクラウドストレージ

新しいパスワードは、サービスごとに別のものにします。覚えきれない場合は、パスワード管理のアプリやブラウザの機能を使うと、サービスごとに長くばらばらのパスワードを作って保存できます。

ログイン認証コードを設定する

発表は、ログイン認証コードを設定するよう勧めています（未設定の場合は設定を推奨）。ログイン認証コードとは、パスワードに加えて、その都度届く確認のコードを入れないとログインできないようにする仕組みのことです。パスワードの組み合わせが他で漏れていても、コードが届く端末を持っていない第三者は入れなくなります。

ふるさとチョイスは2026年11月1日時点でサービスが停止しているため、いますぐ設定することはできません。再開後にログインしたら、最初に設定する項目として覚えておきます。他のサービスでも、同じような二段階の確認が使えるものは先に設定しておくと安心です。仕組みと選び方は、MFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版で説明しています。

パスワードや認証コードを聞く連絡に答えない

発表は、トラストバンクや自治体等を装い、パスワードや認証コードの入力を求めるような不審な連絡に十分注意するよう呼びかけています。心当たりのない連絡や案内があった場合は、書かれたURLにアクセスせず、窓口に問い合わせるよう書いています。

ふるさと納税は、寄付先の自治体、お礼の品の事業者、ポータルサイトの運営会社と、関わる相手が多い仕組みです。そのため、「自治体からの確認です」「お礼の品の配送先に不備があります」といった連絡が本物らしく見えやすい面があります。認証コードは、本人が自分でログインするときにだけ入れるものです。電話やメールで「届いたコードを教えてください」と言われたら、相手が誰であっても答えません。

身に覚えのない認証コードが届いたときの考え方は、認証コードが勝手に届くのはなぜ｜放置してよいかと乗っ取りを防ぐ確認で詳しく扱っています。

寄付の履歴とカードの明細を見ておく

4月24日の発表では、不正な決済や不正な寄付は確認されていません。それでも、2026年4月以降のクレジットカードの明細に覚えのない請求がないかを一度見ておくと安心です。覚えのない請求があれば、今回の件と関係があるかどうかにかかわらず、すぐにカード会社に連絡します。

ふるさとチョイスのサービスが再開したら、マイページの寄付の履歴と登録情報（メールアドレス、届け先など）に覚えのない変更がないかも確かめます。

しなくてよいこと

発表は、クレジットカード情報はふるさとチョイスで保持していないため漏えいはないとしています。そのため、4月の件だけを理由にカードを止めたり、番号を変えたりする必要は示されていません。慌ててカードを止めると、他の公共料金やサブスクリプションの支払いが止まってしまうこともあります。カードをどうするかは、明細に異常が見つかったときに、カード会社と相談して決める順番にします。

2026年10月の不正アクセスとの違い

ふるさとチョイスでは、2026年10月にも不正アクセスの発表がありました。検索するとこちらの話題が多く出てくるため、4月の件と取り違えないように違いを整理しておきます。

項目	2026年4月の件（この記事）	2026年10月の件
公表	2026年4月24日	2026年10月19日にサービスの一時停止を発表、10月26日によくある質問を公表
公式の表現	不正ログイン（リスト型攻撃の可能性が高い）	不正アクセスによる個人情報の流出
規模の表し方	不正アクセスが確認されたアカウント 2,688件	会員登録している寄附者の個人情報が外部に流出したことが判明
カード情報	ふるさとチョイスでは保持していないため漏えいはない	2名の寄附者について、下4桁・名義・有効期限の流出が判明
パスワード	利用者に変更を推奨	全会員の現在のパスワードを無効化。再開後に新しいパスワードを設定

10月の件について、トラストバンクは2026年10月26日のよくある質問のページで、10月21日から個別にお知らせのメールを送っていること、流出が確認された人には流出した項目を、確認されていない人にはその旨を知らせていることを書いています。4月の件と10月の件は、時期も手口の説明も違う別の事案です。

10月の件の発表のうち、2026年10月5日のAmazon Payの件と10月19日のサービス停止までの内容は、ふるさとチョイスの情報漏洩｜Amazon Payでの寄付254件と利用者が確かめることで整理しています。

4月の件で対象になった人にとっても、10月の件の「全会員の現在のパスワードを無効化」は関係があります。サービスが再開したら、全員が新しいパスワードを設定することになるからです。そのときは、4月の件の教訓どおり、他のサービスと同じパスワードにしないこと、ログイン認証コードを設定することの2つを同時に済ませます。

サービス停止中に気をつけること

2026年11月1日時点で、ふるさとチョイスのサイトは停止しています。サイトが見られない間は、ふるさとチョイスを名乗る連絡が本物かどうかを、サイトの表示で確かめることができません。この状態は、なりすましにとって都合のよい状況でもあります。

次のような連絡には、とくに注意します。

• 「サービス再開のため、パスワードの再登録をお願いします」と、メールのリンクからログインさせようとするもの
• 「寄付の手続きが完了していません。こちらから決済をやり直してください」と、別のページに誘導するもの
• 「お礼の品の発送のため、届け先の確認が必要です」と、住所や電話番号、カード番号を入力させるもの
• 自治体を名乗り、ワンストップ特例や確定申告の手続きを急がせるもの

本物の案内かを確かめるときは、届いたメールやSMSのリンクを使わず、トラストバンクの公式サイトのニュースルームを自分で開いて、同じ内容の案内が出ているかを見ます。リンクを開いて入力してしまった場合は、そのパスワードを使っている他のサービスをすぐに変え、カード番号を入れたならカード会社に連絡します。

フィッシングの見分け方の基本は、フィッシング詐欺メールの見分け方｜5秒で振り分ける手順と開いた後の対処で手順にしています。

家族で同じアカウントを使っている場合

ふるさと納税は、家族の誰かがまとめて申し込みを担当していることがあります。夫婦や親子で1つのアカウントを使っていたり、家族それぞれのアカウントを1人が同じパスワードで作っていたりする場合は、家族の分も同じように見直す必要があります。

家族で確かめておくことは次のとおりです。

• ふるさとチョイスに、家族の名義でアカウントを作っていないか
• そのアカウントのパスワードを、家族の他のサービスでも使っていないか
• トラストバンクからの案内のメールが、家族のメールアドレスに届いていないか
• 自治体やポータルサイトを名乗る電話がかかってきたとき、パスワードや認証コードを答えないことを家族で共有しているか

ふるさと納税の寄付は、寄付をする本人の名義で行い、税の控除もその人の分として扱われるのが基本です。家族の分をまとめて申し込んでいる人ほど、アカウントの数と使っているパスワードを一度書き出しておくと、サービス再開後の再設定もまとめて済ませやすくなります。

問い合わせ窓口

4月24日の発表に載っている問い合わせ先は、ふるさとチョイスの問い合わせフォームです。電話番号の記載はありません。2026年11月1日時点では、ふるさとチョイスのサイト全体が停止しているため、このフォームは開けません。

2026年10月26日のよくある質問には、10月の件についての窓口として、株式会社トラストバンクの寄附者向けのメールアドレス（[email protected]）が載っています。4月の件について問い合わせたいときも、サイトが停止している間は、この公式の窓口に、4月の件についての問い合わせであることを書き添えて連絡するのが確実です。

問い合わせるときは、次の情報を手元にそろえておくと話が早く進みます。

• ふるさとチョイスに登録しているメールアドレス
• 2026年4月ごろに届いたトラストバンクからのメールがあれば、その件名と受信日時
• 覚えのないログインや変更の通知があれば、その日時

会社の対応に納得できないときや、個人情報の扱いについて相談したいときは、個人情報保護委員会の個人情報保護法相談ダイヤルが使えます。

在宅で仕事をする人が気をつけること

ふるさと納税は、確定申告をする個人事業主やフリーランスにも身近な制度です。在宅で業務委託の仕事を受けている人の中には、ふるさとチョイスのアカウントと、仕事で使うメールやクラウドのアカウントで、同じパスワードを使っている人もいるはずです。

在宅で働く人は、取引先から顧客の名簿、原稿、デザインのデータなどを預かる立場になることがあります。リスト型攻撃で仕事用のメールやクラウドのアカウントに入られると、自分の情報だけでなく、預かった取引先の情報まで外に出るおそれがあります。

個人情報保護委員会の漏えい等の対応のページでは、事業者に委員会への報告が義務づけられる場合の1つとして、不正に利用されることで財産的な被害が生じるおそれがある漏えい等を挙げ、その例に、送金や決済の機能があるウェブサービスのログインIDとパスワードの組み合わせが漏えいした場合を示しています。ログインIDとパスワードの組み合わせは、それだけでお金の被害につながりうる情報として扱われている、ということです。

業務委託で個人情報を扱う人が、自分のアカウントから預かった情報を漏らしてしまった場合、まず対応を迫られるのは委託元の取引先です。どこまでが自分の責任になるかは、契約の内容や事情で変わるので、ここでは断定できません。ただ、気づいた時点ですぐ取引先に伝えることが、取引先が必要な手続きを進めるうえで欠かせない点は変わりません。

今回の件をきっかけに、仕事で使うアカウントについて次の点を見直しておくと安心です。

• 仕事のメール、クラウドストレージ、チャットのパスワードが、ふるさと納税や通販のサイトと同じになっていないか
• 仕事で使うアカウントに、二段階の確認（多要素認証）を設定しているか
• 取引先から預かったデータを、必要がなくなったあとも手元に残していないか
• 自分のアカウントで不審なログインに気づいたとき、取引先の誰に、どの手段で連絡するかを決めているか

フリーランス・在宅ワークの仲介を2004年から続けてきた運営者として見てきた限りでは、長く取引が続く人ほど、納品物の質だけでなく、預かった情報の扱い方で信頼を得ています。パスワードの使い回しをやめる、仕事と個人のアカウントを分ける、といった地味な手当てが、そのまま取引先からの評価につながっていきます。中間の手数料が乗らない直接の取引では、こうした信頼がそのまま次の依頼と手取りの厚さに結びつきます。

アカウントを守る力を仕事に生かす

リスト型攻撃への備えは、自分の身を守る知識であると同時に、仕事として求められる力でもあります。企業の中には、利用者向けの注意喚起の文面づくり、社員向けのパスワード管理の研修資料の作成、社内のアカウントの棚卸しの手伝いなどを、外部の人に頼むところがあります。今回のような発表を公式の文面から正確に読み取り、「何が対象で何が含まれないか」「利用者は何をすればよいか」を整理する作業も、その一つです。

セキュリティの仕事を在宅で受けたい場合、いきなり専門的な診断の仕事を目指す必要はありません。まずは自分のアカウントの管理を整え、事案の発表を正確に読む習慣をつけるところから始められます。@SOHOのAI・マーケティング・セキュリティのお仕事では、在宅で受けられるセキュリティ関連の仕事の種類と探し方を紹介しています。

ふるさとチョイスの4月の不正ログインは、2026年11月1日時点で続報が出ておらず、サービスは10月の別の件で停止したままです。ふるさとチョイスと同じパスワードを他で使っていた人は、そのサービスのパスワードの変更を先に済ませ、再開後は新しいパスワードとログイン認証コードの設定を同時に行い、続報はトラストバンクの公式サイトで確かめてください。

よくある質問

Q. 2,688件のアカウントの持ち主は、全員の情報が漏れたのですか？

2,688件は、不正アクセスが確認されたアカウントの数です。トラストバンクは、そのうち一部のアカウントでマイページ（会員情報）が第三者に閲覧された可能性があるとしており、閲覧の有無は調査中としています。全員の情報が漏れたという発表ではありません。マイページが閲覧された可能性のある人には、順次連絡すると発表されています。

Q. クレジットカードを止める必要はありますか？

2026年4月24日の発表では、クレジットカード情報はふるさとチョイスで保持していないため漏えいはないとされています。そのため、4月の件だけを理由にカードを止める必要は示されていません。ただし、明細に身に覚えのない請求があれば、今回の件と関係があるかにかかわらず、すぐにカード会社へ連絡してください。

Q. ふるさとチョイスからパスワードが漏れたのですか？

発表は、ふるさとチョイスからパスワードが漏れたとは書いていません。何らかの経路で第三者に取得された可能性のある認証情報を使ったログインの試み（リスト型攻撃）の可能性が高いとしています。別のサービスで漏れた組み合わせが使われたという見立てなので、同じパスワードを使っている他のサービスを先に変えることが大切です。

Q. 10月の不正アクセスの件と同じ話ですか？

別の事案です。4月の件は2026年4月14日から15日の不正ログインで、2026年4月24日に発表されました。10月の件は2026年10月19日にサービスの一時停止が発表された不正アクセスで、10月26日のよくある質問では個人情報の流出が判明したとされています。サービスが再開したら、どちらの件でも新しいパスワードの設定が必要になります。