ふるさと納税サイトのセキュリティ比較｜情報流出が心配な人の選び方6サイト【2026年】

2026年11月6日 2026年11月6日

KURASHI ZUKAN編集部

答え：情報流出が心配なら、サイト選びより先に「パスワードを使い回さない」「二段階認証やパスキーを設定できるIDでログインする」の2つが効きます。楽天ふるさと納税（楽天ID）やau PAY ふるさと納税（au ID）は追加の本人確認を設定でき、さとふるやふるさとチョイスは楽天・Yahoo!・Googleなどのほかのサービスのアカウントでもログインできます。→ 6サイトのログイン方法を比べる

2026年10月、ふるさと納税サイト「ふるさとチョイス」で不正アクセスによる情報流出が起き、約445万件の寄附者の情報が外部に流出したと公表されました。サイトは11月6日にWeb版の受付を再開しましたが、全会員のパスワードが無効化され、ログインには新しいパスワードの設定が必要になっています。11月5日には、朝日放送テレビが運営する「ふるラボ」でも、第三者による不正ログインで会員8名の情報が見られる状態だったことが公表されました。

年末はふるさと納税の申し込みが1年でいちばん増える時期です。「年内に寄付は済ませたいけれど、また個人情報が漏れたらどうしよう」と、どのサイトを使うか迷っている人も多いのではないでしょうか。

この記事では、今回の流出で何が起きたのかを公式発表をもとに整理し、主要な6つのふるさと納税サイトについて、ログインの方法と追加の本人確認（二段階認証など）を設定できるかを比べました。そのうえで、情報流出が心配な人が今日からできる対策と、年内の締切までに寄付を済ませる段取りをまとめています。

この記事の前提

各サイトのログイン方法は、2026年11月6日に各サイトのログイン画面と公式の案内で確認した内容です。仕様は変わることがあるため、最新の情報は各サイトで確認してください。
この記事は、特定のサイトが安全であると保証するものではありません。

ふるさとチョイスの情報流出で何が起きたのか

まず、今回の情報流出の経緯を、運営会社トラストバンクの公式発表をもとに整理します。

日付	出来事
2026年10月19日	不正アクセスの疑いにより「ふるさとチョイス」関連サービスを停止
2026年10月20日	寄附者情報の外部流出を公表。対象は4,454,097件。項目は氏名・メールアドレス・住所・電話番号・ハッシュ化されたパスワード・寄附控除の試算額
2026年10月28日	提携先サイト内で申し込みから決済まで完結するサービスの連携システムを再開
2026年11月6日12時	Web版で寄附の受付を再開。アプリ版とチョイスPayは今後再開予定。全会員のパスワードを無効化

パスワードは「ハッシュ化」という、元の文字列に戻しにくい形で保存されていました。それでも、同じメールアドレスとパスワードをほかのサービスで使い回していると、そのサービスに不正にログインされるおそれがあります。トラストバンクも、使い回している場合はほかのサービス側のパスワードを変えるよう呼びかけています。

ふるラボでも不正ログインが公表された

11月5日には、朝日放送テレビが運営する「ふるラボ」が、第三者による不正ログインで会員8名の個人情報などが閲覧できる状態にあったと公表しました。ふるラボはこれを受けて、ログイン時にメールで届く確認コードを入力する二段階認証、ログインがあったときの通知メール、ログインの失敗が続いたときの制限を導入しています。

流出したのは「試算額」で、カード番号の大量流出は確認されていない

ふるさとチョイスの寄附者向けFAQでは、流出が確認されたのは控除上限の試算額で、年収や家族構成の入力値の流出は確認されていないとされています。クレジットカード情報の流出が確認されたのは2名のみ（下4桁・名義・有効期限）とされています。ただし、氏名・住所・電話番号・メールアドレスが流出しているため、それらを使った不審なメールや電話には引き続き注意が必要です。

ふるさと納税サイト6つのログイン方法と本人確認の比較

ここからが本題です。主要な6つのふるさと納税サイトについて、ログインに使うIDと、追加の本人確認（二段階認証など）を設定できるかを比べました。

サイト	ログインに使うID	追加の本人確認	ひとこと
楽天ふるさと納税	楽天会員ID	楽天会員の設定で、パスキー・二段階認証を設定できる	楽天市場と同じIDなので、IDの守りを固めればそのまま効く
さとふる	メールアドレス＋パスワード、または外部サービスID（Amazon・Yahoo!・楽天）	外部サービスIDでログインする場合は、そのIDの本人確認の設定が使える	パスワードを新しく作りたくない人は外部IDが便利
ふるなび	メールアドレス＋パスワード	ログイン画面に外部ID・二段階認証の選択肢はなし（11月6日確認）	パスワードは英字・数字・記号をすべて含む9〜32文字
au PAY ふるさと納税	au ID	au IDの2段階認証（SMSのURL、またはSMS・メールの確認コード）	auやUQ mobileの回線を持っている人は使いやすい
ふるさとチョイス	メールアドレス＋パスワード、または他サービスのID（dアカウント・Amazon・Yahoo!・Google・Apple ID・LINEなど）	他サービスのIDでログインする場合は、そのIDの本人確認の設定が使える	11月6日に再開。メールアドレスでログインする人はパスワードの再設定が必要
ふるラボ	メールアドレス＋パスワード	11月5日から、ログイン時にメールの確認コードを入力する二段階認証を導入	ログイン通知メールも導入

2026年11月6日に、各サイトのログイン画面と公式の案内で確認。楽天会員の二段階認証・パスキーは楽天の会員情報の設定画面で確認してください。

表を見ると分かるように、「どのサイトが安全か」よりも、「どのIDでログインし、そのIDにどんな守りを付けるか」のほうが、情報流出への備えとしては実際的です。楽天IDやau IDのように二段階認証を設定できるIDを使ったり、さとふるやふるさとチョイスで、すでに二段階認証を設定している外部のアカウントでログインしたりすれば、パスワードが漏れたときの被害を小さくできます。

情報流出が心配な人のサイトの選び方｜3つの基準

比較表をもとに、情報流出が心配な人がサイトを選ぶときの基準を3つにまとめました。

基準1：二段階認証やパスキーを設定できるIDでログインできるか

パスワードだけのログインは、パスワードが漏れるとそのまま不正にログインされてしまいます。ログインのときに、スマホに届くコードや指紋・顔認証などの追加の確認が必要な仕組み（二段階認証・パスキー）があれば、パスワードが漏れても被害を防ぎやすくなります。楽天IDやau IDは、その設定ができます。

基準2：すでに使っているアカウントでログインできるか

さとふるやふるさとチョイスは、Amazon・Yahoo!・Googleなどのほかのサービスのアカウントでもログインできます。新しくパスワードを作らずに済むので、パスワードを増やしたくない人や、使い回しをやめたい人には便利です。その場合は、ログインに使うアカウントの側で二段階認証を設定しておきましょう。

基準3：パスワードを使い回さずに済む運用ができるか

どのサイトを選んでも、メールアドレスとパスワードでログインするなら、そのサイト専用のパスワードにすることが最も大切です。スマホやブラウザのパスワード管理機能を使えば、長くて複雑なパスワードを覚えずに使えます。

サイト別｜情報流出が心配な人に向いている使い方

6つのサイトそれぞれについて、セキュリティの面から見た使い方のポイントをまとめます。寄付の手続きそのものはどのサイトでも同じで、控除される金額もサイトによって変わりません。

楽天ふるさと納税：楽天IDに二段階認証・パスキーを設定してから使う

楽天市場と同じ楽天会員IDで寄付できます。楽天会員の設定で二段階認証やパスキーを設定しておけば、ふるさと納税でも同じ守りが効きます。楽天市場の買い物かごに入れて決済する流れなので、ふだん楽天を使っている人は迷わずに使えます。

楽天ふるさと納税で返礼品を探す→広告／楽天IDをそのまま使えます。先に楽天会員の二段階認証を確認しておきましょう

さとふる：外部サービスIDでのログインを選べる

さとふるは、メールアドレスとパスワードのほかに、Amazon・Yahoo!・楽天のアカウントでもログインできます。二段階認証を設定済みのアカウントでログインすれば、さとふる用のパスワードを新しく作る必要がありません。

さとふるで返礼品を探す→広告／ログイン画面の「外部サービスIDでログイン」から、Amazon・Yahoo!・楽天のIDを使えます

ふるなび：専用の強いパスワードで使う

ふるなびのログイン画面は、メールアドレスとパスワードの入力のみです（2026年11月6日確認）。パスワードは英字・数字・記号をすべて含む9〜32文字と決められています。ほかのサービスと同じパスワードにせず、ふるなび専用のものを作って使いましょう。家電や体験型の返礼品が多いのが特徴です。

ふるなびで返礼品を探す→広告／パスワードは、ほかのサービスと使い回さない専用のものにしましょう

au PAY ふるさと納税：au IDの2段階認証を使う

au IDでログインして寄付できます。au IDには、SMSで届くURLや確認コードを使う2段階認証があります。auやUQ mobileの回線を使っている人は、そのまま設定しやすいでしょう。

au PAY ふるさと納税で返礼品を探す→広告／au IDの2段階認証を設定しておくと安心です

ふるさとチョイス：パスワードを再設定するか、他サービスのIDでログインする

11月6日12時にWeb版が再開しました。メールアドレスでログインしていた人は、全会員のパスワードが無効化されているため、新しいパスワードの設定が必要です。dアカウント・Amazon・Yahoo!・Google・Apple ID・LINEなどのIDだけでログインしている人は、再設定は不要とされています。掲載している自治体と返礼品の数が多く、ほかのサイトにない自治体を探したいときに向いています。

ふるさとチョイスで返礼品を探す→広告／ログインには新しいパスワードの設定が必要です（他サービスのIDのみの人は不要）

ふるラボ：二段階認証が入った

11月5日から、ログイン時に登録メールアドレスに届く確認コードを入力する二段階認証が導入されました。テレビ番組で紹介された返礼品から探せるのが特徴です。

ふるラボで返礼品を探す→広告／ログイン時に、メールで届く確認コードの入力が必要です

サイトごとの返礼品やキャンペーンの違いは、ふるさと納税ポータルサイトの比較でくわしく比べています。

情報流出に備えて、今日からできる5つの対策

どのサイトを使う場合でも、次の5つをやっておくと、万が一情報が漏れたときの被害を小さくできます。

1ふるさと納税サイトのパスワードを、ほかのサービスと違うものにする

2ログインに使うID（楽天ID・au ID・Googleアカウントなど）に、二段階認証やパスキーを設定する

3ふるさとチョイスと同じパスワードをほかで使っていた人は、そのサービスのパスワードを変える

4メールやSMSのリンクからはログインせず、ブックマークや公式アプリから開く

5クレジットカードの利用明細を、月に一度は確認する

不審なメール・SMS・電話に注意する

ふるさとチョイスは、運営会社や関係先を装った不審なメール、SMS、電話、郵便物に注意するよう呼びかけています。身に覚えのないメールのリンクや添付ファイルは開かず、個人情報やパスワードを入力しないようにしましょう。「返礼品の配送に問題がある」「控除の手続きが必要」といった内容で、偽のサイトに誘導する手口も考えられます。

寄付の履歴と控除の書類は、自分でも控えておく

サイトの停止や退会で寄付の履歴が見られなくなることもあります。寄付の日付・自治体・金額と、自治体から届く寄附金受領証明書は、自分でも保管しておくと、確定申告やワンストップ特例の手続きのときに困りません。

支払い方法でもリスクは変わる｜カード情報を預けたくない人は

情報流出が心配な人は、ログインだけでなく、支払い方法にも目を向けておくと安心です。

クレジットカード情報をサイトに保存しない

多くのサイトでは、カード情報を保存しておくと次回の入力を省けます。便利な反面、サイトに情報が残ることになります。心配な人は、毎回入力する、または保存しない設定を選びましょう。

キャリア決済やコード決済を使う

サイトによっては、携帯電話料金と一緒に払うキャリア決済や、PayPayなどのコード決済を選べます。カード番号をふるさと納税サイトに入力せずに済むのが利点です。どの支払い方法が使えるか、送料がかかるかどうかはサイトごとに違うので、ふるさと納税の支払い方法と送料の違いで確認してください。

退会やサイトの乗り換えを考えている人へ

今回の流出を受けて、ふるさとチョイスを退会してほかのサイトに移ろうと考えている人もいるでしょう。退会する前に、次の2点を確認しておきましょう。

退会すると、寄付の履歴と控除の証明書が見られなくなる

ふるさとチョイスの公式FAQでは、退会すると過去の寄付履歴が見られなくなり、「寄附金控除に関する証明書」も発行できなくなるとされています。確定申告をする人は、退会の前に証明書を発行しておいてください。退会の手順はふるさと納税の退会・キャンセルのルールでまとめています。

ワンストップ特例の申請はサイトを変えても続けられる

ワンストップ特例の申請は、寄付先の自治体ごとに行う手続きです。サイトを乗り換えても、すでに寄付した自治体への申請はそのまま進められます。申請が期限に間に合わないときの対処はワンストップ特例が間に合わないときの対処法を参考にしてください。年末の締切の詳細は年末の寄付の締切と注意点に、制度の基本はふるさと納税の仕組みにまとめています。

年内の寄付の締切｜サイト選びで迷っても、期限は待ってくれない

サイト選びに迷っているあいだにも、年内の締切は近づいています。2026年分の控除に入れるための主な期限は次のとおりです。

手続き	期限
2026年分の寄付	2026年12月31日までに決済が完了したもの（サイト・決済方法ごとに受付の締切が早まることがある）
ワンストップ特例の申請	2027年1月10日（日）必着
確定申告（ワンストップ特例を使わない場合）	2027年の確定申告期間

年末は申し込みが集中し、決済方法によっては反映に時間がかかることもあります。サイトのセキュリティ設定を済ませたら、早めに寄付を進めておきましょう。年収別の控除上限額は年収・家族構成別の控除上限の目安で確認できます。ふるさとチョイスの再開後の手続きはふるさとチョイス再開後にやることのチェックリストに、制度全体はふるさと納税まるわかり特集にまとめています。

まとめ｜サイト選びより「IDの守り」を先に固める

ふるさとチョイスでは約445万件の寄附者情報が流出し、11月6日にWeb版が再開。全会員のパスワードが無効化された
ふるラボでも不正ログインが公表され、11月5日から二段階認証を導入
楽天ふるさと納税（楽天ID）とau PAY ふるさと納税（au ID）は、追加の本人確認を設定できる
さとふるとふるさとチョイスは、ほかのサービスのアカウントでもログインできる
どのサイトでも、パスワードを使い回さないことがいちばんの対策。年内の寄付は12月31日の決済まで

情報流出のニュースを見ると、ふるさと納税そのものをやめたくなるかもしれません。ですが、控除の仕組みはどのサイトでも同じで、守りを固めれば安心して使えます。今日のうちにIDの設定を見直して、年内の寄付を進めましょう。

よくある質問

ふるさと納税サイトで、いちばん安全なのはどこですか？

どのサイトが安全だと言い切ることはできません。情報流出への備えとしては、サイト選びより「パスワードを使い回さない」「二段階認証やパスキーを設定できるIDでログインする」ことのほうが効果があります。楽天ID（楽天ふるさと納税）やau ID（au PAY ふるさと納税）は追加の本人確認を設定でき、さとふるやふるさとチョイスはほかのサービスのアカウントでもログインできます。

ふるさとチョイスで流出したのはどんな情報ですか？

運営会社トラストバンクの発表では、4,454,097件の寄附者情報が流出し、項目は氏名・メールアドレス・住所・電話番号・ハッシュ化されたパスワード・寄附控除の試算額です。クレジットカード情報の流出が確認されたのは2名（下4桁・名義・有効期限）とされています。

ふるさとチョイスと同じパスワードをほかのサイトでも使っていました。どうすればいいですか？

ほかのサイト側のパスワードを、すぐに別のものに変えてください。トラストバンクも、使い回している場合はほかのサービス側のパスワードを変更するよう呼びかけています。可能なら、そのサービスで二段階認証も設定しておきましょう。

外部サービスのID（AmazonやGoogleなど）でログインするのは安全ですか？

ログインに使うアカウントに二段階認証やパスキーを設定していれば、ふるさと納税サイト用のパスワードを新しく作らずに済み、パスワードの使い回しも防げます。ただし、そのアカウントが乗っ取られると影響が大きくなるため、ログインに使うアカウントの守りを固めておくことが前提です。

寄付するサイトによって、控除される金額は変わりますか？

変わりません。控除の金額は、寄付した金額と、年収・家族構成などで決まります。どのサイトから寄付しても、同じ自治体に同じ金額を寄付すれば、控除の結果は同じです。

ふるさとチョイスで申し込んだ寄付は、流出の影響で取り消されますか？

流出によって申し込み済みの寄付が取り消されることはないとされています。返礼品の発送は進められる状態ですが、時間がかかる場合があります。寄附金受領証明書は寄付先の自治体から届きます。

年内の寄付はいつまでに済ませればいいですか？

2026年分の控除に入れるには、2026年12月31日までに決済が完了している必要があります。年末はサイトや決済方法によって締切が早まることがあるため、余裕をもって申し込みましょう。ワンストップ特例の申請書は2027年1月10日必着です。

この記事の調査・評価方法と出典

この記事は、2026年11月6日に各ふるさと納税サイトのログイン画面と公式のお知らせを確認し、KURASHI ZUKAN編集部がまとめました。楽天会員の二段階認証・パスキーについては、楽天の会員情報の設定画面で最新の内容を確認してください。この記事は、特定のサイトが安全であると保証するものではありません。