フランス経済財務省は、攻撃者が税務総局(DGFiP)のシステムに侵入し、67万8000人分のデータを窃取するデータ漏洩が発生したことを公表しました。
この事件は、「ZeroBytes」を名乗る脅威アクターが8月12日にハッキングフォーラム「PwnForums」で攻撃を犯行声明し、窃取したデータベースを販売のため出品したことで発覚しました。
フランス財務省によると、「2026年8月12日以降に実施された詳細な調査により、これらのアクセス経路が遮断される前に、合計67万8000人の個人および事業者に関するデータの閲覧・抽出に利用されていたことが判明した。対象となったのは、参照課税所得、家族除数、源泉徴収税率といった税務データ、および事業者については社名やSIREN番号などのデータだ」としています。
「住所や不動産の面積に関する地籍データにもアクセスされていた。これらのデータ漏洩が判明した時点で、フランス公共財政総局(DGFIP)は直ちにフランスデータ保護当局(CNIL)に通知した。個人および事業者利用者のオンラインアカウントは侵害されていない。ユーザーIDおよびパスワードも侵害されていない」としています。
攻撃を検知した後、フランス税務当局は機密情報システムへのアクセスを遮断し、フランス国家サイバーセキュリティ庁(ANSSI)の支援を受けながら、被害の全容解明に向けた調査を継続しています。
ハッキングフォーラムへの投稿の中で、ZeroBytesはさらに、フランスの中央土地台帳および不動産所有記録へのアクセスを提供する、フランス税務当局が運営するオンラインプラットフォーム「Serveur Professionnel de Données Cadastrales(SPDC)」にもアクセスしたと主張しています。
このポータルへのアクセスにより、約2000万人のフランス市民に関するデータが閲覧可能な状態だったとされる一方、この脅威アクターは、200万人超の個人情報を含む25万2149件のレコードしか窃取できなかったと主張しています。
「正直に言って、抽出作業は本当に大変で、完了させるには数カ月かかっただろうから、途中で断念した。今もパネルにログインしたままなので、希望があればデータベースと一緒に購入できる」と同アクターは述べています。「どのみち、これを高値で売るつもりはない。それに、いつも通りフランス側からはこの件について何の言及もない」
フランス財務省は金曜日、来週から影響を受けた個人全員に対し、メールまたは書面で連絡を取り、どのデータがアクセスあるいは窃取された可能性があるか、また必要な対策について案内すると付け加えています。
今回の事件は、ここ数カ月でフランスの複数の政府機関を襲ったサイバー攻撃とデータ漏洩の連鎖の、最新の一件に過ぎません。
1月には、フランスのデータ保護当局が国立雇用局France Travailに500万ユーロの制裁金を科しました。ハッカーが4300万人分の個人情報を窃取したことが理由です。その1カ月後には、フランス財務省が別のデータ漏洩を公表しました。ハッカーが国立銀行口座登録システム(FICOBA)からデータベースを窃取し、120万件超のユーザーアカウントに影響が及んだ事件です。
さらに最近では、フランスの行政文書の発行・管理を担う政府機関France Titresも、脅威アクターが国立セキュア文書機関(ANTS)から窃取したとされる1900万件のレコードを含むデータベースを販売用に出品したことを受け、データ漏洩を公表しました。
攻撃者が有効な認証情報を入手すると、その行動のわずか37%しか阻止できない
全体的な防御スコアだけでは、初期侵入後に何が起きているかは見えてきません。攻撃者が有効な認証情報を使い始めると、防御の成功率は急激に低下します。
「The Blue Report 2026」では、顧客の実運用環境で行われた3億3800万回のシミュレーションをもとに、防御手法ごとに詳細な分析を行っています。
