フランスの税務当局は、攻撃者が公共財政総局(DGFiP)のシステムに不正アクセスしたことを受けてデータ侵害を公表しました。この侵入により67万8000人分の個人および事業者のデータが流出したとしています。
この事案は、「ZeroBytes」を名乗る攻撃者とされる人物がサイバー犯罪フォーラムで犯行を主張し、盗み出したとするデータベースを販売目的で掲載したことで明るみに出ました。
ZeroBytesは、侵害したポータルには約2000万人のフランス国民のデータが含まれていたと述べていますが、実際に抽出できたのは25万2149件で、200万人超のデータに相当するとしています。
「正直なところ、抽出作業は非常に骨が折れるもので、完了させるには何カ月もかかったはずなので、途中で打ち切りました。今もそのパネルにログインしたままなので、希望があればデータベースと一緒に購入できます」と同人物は書いています。「どのみち、これを高値で売るつもりはありません。そしていつも通り、フランス側からこの事案についての言及は一切ありません」。
ログイン認証情報とMFA(多要素認証)回避の手法を使ってアクセスしたと同人物は述べています。
「これらの侵入を検知した際、フランス公共財政総局(DGFiP)は、特定されたインシデントに使用されたすべてのアカウントへのアクセスを直ちに停止しました。しかし、その時点で実施したアクセス制御の確認では、攻撃の巧妙さゆえに、これらの侵入がデータ窃取につながっていたことは判明しませんでした」とDGFiPは述べています。
「2026年8月12日以降に実施した詳細な調査により、アクセス遮断以前の時点で、これらのアクセス経路が合計67万8000人の個人および事業者に関するデータの閲覧・抽出に利用されていたことが判明しました。対象データには、参照課税所得、家族除数、源泉徴収税率といった税務データ、また事業者については社名やSIREN番号などのデータが含まれます」と同局は付け加えています。
DGFiPによると、個人および事業者が利用するオンライン税務ポータル自体は侵害されておらず、ユーザー名やパスワードも流出していないとのことです。同局はまた、フランスのデータ保護当局であるCNILにも通報済みです。
DGFiPはその後、機密性の高いシステムへのアクセスを予防的に遮断するなど、追加のセキュリティ対策を講じており、財務省のセキュリティ部門(SHFDS)および国家サイバーセキュリティ機関ANSSIと連携して対応にあたっています。
今回の侵害は、ここ数カ月にわたりフランスの複数の政府機関を襲ってきた一連のサイバーセキュリティ事案の最新事例に過ぎません。
翻訳元: https://www.helpnetsecurity.com/2026/08/17/france-tax-authority-data-breach/
