フランスの税務当局は、ハッカーが情報システムに侵入し、個人および企業のデータを窃取したことを認めました。
フランス経済省は木曜日遅く、公共財政総局(Directorate General of Public Finances、DGFiP)のシステムに攻撃者が不正アクセスしたと発表しました。これは6月下旬、何者かのIDが盗用または悪用された後に発生したとされています。
同省によると、この侵入により攻撃者は「個人および企業に属するデータを閲覧し、抽出する」ことが可能になったということです。
当局によれば、不正アクセスは6月下旬に検知され、遮断されました。しかし今週、あるハッカーが犯行声明を出したことでこの事案が公になり、税務当局はさらなる不正アクセスを防ぐため追加の制限措置を講じています。
現在当局は、どのような情報にアクセスされた、あるいは窃取されたのか、また何人の個人や企業が影響を受けたのかを正確に特定する作業を進めています。DGFiPは、データが漏えいした人々には個別に連絡を取り、どのような情報が流出した可能性があるか、またどのような予防措置を取るべきかを伝えるとしています。
同局はまた、フランスのデータ保護当局への通知や刑事告訴の提起も行うとしており、捜査の進展に応じてさらなる情報を提供するとしています。
フランス国内のデータ漏えいを追跡するウェブサイト「FrenchBreaches」によると、この攻撃は「ZeroBytes」というエイリアスを使うハッカーが犯行声明を出しているということです。
このハッカーは、氏名やその他の個人情報、納税者番号、メールアドレス、家族構成、納税状況の詳細を含む、60万人以上の個人データを取得したと主張しています。この主張および流出したとされるデータの真正性については、第三者による独立した検証はまだ行われていません。
FrenchBreachesによると、このハッカーは内部サーバーへのアクセス権を取得したと主張しており、これにより同局のVPNに接続し、内部ツールを使って個人や企業の情報を検索できたとしています。攻撃者は、アクセスが遮断される前にデータの窃取を開始したと述べています。
DGFiPは、今回の侵害について特定の脅威アクターへの帰属を公式には発表しておらず、またハッカー側の主張を確認したとも述べていません。
今回の事案は、今年フランス政府機関を襲った侵害としては最新のものとなります。
4月には、パスポートや国民IDカード、滞在許可証、運転免許証の申請を扱うフランス国家安全文書庁(National Agency for Secure Documents、ANTS)のウェブサイトがハッカーに狙われました。
同じく4月には、教育省が学生アカウント管理システムへの攻撃により、学生の個人情報が流出したことを公表しました。
2月には、フランス国内の銀行口座記録を格納するデータベース「National Bank Accounts File」の一部にもハッカーが侵入しました。この事案では、データベース内の3億件を超えるレコードのうち、約120万件の口座に関連する情報が流出しました。
フランス当局は、公的機関やその他の組織を狙ったとみられるハッカーの追跡も続けています。今年に入り、警察は政府機関、スポーツ連盟、民間企業を標的とした数十件のデータ侵害を実行した容疑で20歳の男を逮捕しました。
翻訳元: https://therecord.media/french-tax-authority-dgfip-confirms-data-breach
