Furusato Choice: 4.454.097 registros vazados e cartões acessados em dois doadores
A Trustbank (CHANGE Holdings) confirmou acesso não autorizado que vazou 4.454.097 registros de membros do site de doações Furusato Choice, com nomes, e-mails, endereços, telefones, senhas com hash e valores estimados de dedução das doações. Em relato de 23 de outubro de 2026, a empresa ampliou o caso: cinco doadores tiveram dados extras expostos e dois tiveram a página de cartões salvos acessada por terceiros. A Trustbank notifica membros por e-mail desde 21 de outubro e a investigação segue com especialistas externos.
O que aconteceu
A Trustbank, subsidiária da CHANGE Holdings, confirmou acesso não autorizado ao site de doações Furusato Choice. O vazamento expôs 4.454.097 registros de membros, com nomes, e-mails, endereços, telefones, senhas com hash e valores estimados de dedução. Em novo relato, de 23 de outubro de 2026, a empresa confirmou acesso de terceiros à página de cartões salvos de dois doadores.
Por que importa
Dados pessoais de milhões de doadores japoneses estão expostos, incluindo senhas com hash. Para dois doadores, terceiros viram os quatro últimos dígitos do cartão, o nome e a validade; a CHANGE Holdings afirma que esses dados sozinhos não permitem pagamento. O efeito no resultado do ano fiscal encerrado em março de 2027 ainda é avaliado, sem valor divulgado.
O que fazer
Verificar o e-mail que a Trustbank envia desde 21 de outubro de 2026 informando se cada membro foi afetado e quais dados. Os cinco doadores com exposição extra foram contatados individualmente. Trocar a senha do Furusato Choice e acompanhar extratos de cartão.
Para o time técnico
- Afetados
- Trustbank (CHANGE Holdings) Furusato Choice (site de doações) · 4.454.097 registros de membros do Furusato Choice: nomes, e-mails, endereços, telefones, senhas com hash e valores estimados de dedução das doações. Para cinco doadores (já incluídos no total): histórico de pontos (cinco), histórico de doações e data de nascimento (dois cada), endereço de entrega (um).
- Exploração
- Vazamento confirmado pela própria Trustbank e pela CHANGE Holdings em comunicado e divulgação ao mercado. Sem menção a PoC, KEV ou grupo atacante; não é falha de software.
- Correção
- Sem patch aplicável. A Trustbank contatou individualmente os cinco doadores com exposição extra e envia e-mails aos membros desde 21 de outubro de 2026 informando se os dados foram afetados e quais itens. A investigação continua com especialistas externos e novos achados serão divulgados quando confirmados.
- Vetor
- Acesso não autorizado ao sistema do site de doações Furusato Choice, operado pela Trustbank. O método de intrusão não foi descrito nas fontes. No caso dos dois cartões, o acesso ocorreu na página de exibição de cartões salvos dentro da conta do membro.
- Mais detalhes
- Primeiro relato em 20 de outubro de 2026; segundo relato em 23 de outubro ampliou a exposição de cinco doadores, com total inalterado. A página de cartões exibe apenas os quatro últimos dígitos, o nome e a validade, buscados do processador de pagamentos a cada abertura; segundo a CHANGE Holdings, a Trustbank não armazena esses dados e eles sozinhos não permitem pagamento. Um dos cinco doadores teve o nome da prefeitura do endereço registrado apagado. A metadata do comunicado indica início do incidente em 17 de outubro de 2026. Impacto no resultado consolidado do ano fiscal até março de 2027 em avaliação.
Linha do tempo
Trustbank confirma 4,45 milhões de registros vazados e acesso a dados de cartão em dois doadores.
Fontes 4 fontes
- 不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ Trustbank
- CHANGE Holdings timely disclosure (TDnet, PDF) CHANGE Holdings
- ふるさと納税仲介サイト「ふるさとチョイス」、個人情報４４５万件超が流出 Yomiuri Shimbun
- Furusato Choice breach widens for five donors, with card details accessed for two Tokyo Brief
