フランス税務当局のデータ侵害、67万8000人分の情報が流出

フランスの税務行政機関に対する侵害により、数十万人分の機密性の高い税務・不動産情報が流出したことが明らかになりました。

フランス経済財政省は、公共財政総局(DGFiP)が運用するシステムに攻撃者が不正アクセスし、個人および事業者67万8000人分のデータを窃取したことを確認しました。

この侵害は、「ZeroBytes」を名乗る脅威アクターが2026年8月12日、ハッキングフォーラム「PwnForums」で盗んだデータを販売用として宣伝したことで明らかになりました。 

フランス当局のその後の調査により、侵害されたアクセスポイントが税務・事業・不動産情報の閲覧および抽出に使われていたことが判明しました。

金融・不動産に関する記録は、攻撃者に詐欺やその他の身元情報を悪用した攻撃に利用できる個人情報を与えかねません。

フランス税務当局の侵害に関する要点

• フランス当局は、攻撃者が個人および事業者67万8000人分の税務・事業・不動産データにアクセスし、抽出したことを確認
• 納税者アカウント、ユーザーID、パスワードは侵害されなかったが、機密性の高い金融・地籍情報が流出
• 脅威アクターZeroBytesは、フランス国民約2000万人分に及ぶ不動産データにアクセスし、200万人超の人物に関わる記録を抽出したと主張しているが、当局はこれらの数値を確認していない
• 流出した税務・所得・住所・不動産データは、より巧妙なフィッシング、なりすまし、詐欺行為を可能にする恐れがある

今回の侵害で流出したデータは何か

フランス経済財政省によると、流出した情報には参照課税所得、家族係数(family quotient)情報、源泉徴収税率が含まれていました。

事業者に関しては、企業名およびSIREN識別番号を含む記録が流出しました。 

攻撃者は、住所や不動産の広さに関連する地籍情報にもアクセスしていました。

同省は、納税者のオンラインアカウントは侵害されておらず、ユーザーIDやパスワードも流出していないと強調しています。

侵害を特定した後、DGFiPはフランスのデータ保護当局である情報処理と自由に関する国家委員会(CNIL)に通知しました。 

また、フランスの国家サイバーセキュリティ庁(ANSSI)とともに事件の調査を続ける間、機密性の高い情報システムへのアクセスも制限されました。

攻撃者、数百万件の不動産記録へのアクセスを主張

ZeroBytesはまた、フランス税務当局が運用するオンラインプラットフォームで、地籍・不動産所有情報を一元的に管理するServeur Professionnel de Données Cadastrales(SPDC)へのアクセスも主張しています。

この攻撃者は、侵害したプラットフォームによりフランス国民約2000万人分の情報に潜在的にアクセスできたと主張しています。 

ただし、ZeroBytesによれば、より大規模なデータセットの収集には時間がかかりすぎるため、実際に抽出したのは200万人超の情報を含む25万2149件の記録のみだったとのことです。

フランス当局はこうした広範な数値を確認しておらず、現時点の公式調査では影響を受けた個人・事業者は67万8000人としています。

流出した税務データが重大な理由

税務所得、源泉徴収率、住所、不動産情報、事業者識別番号といった情報は、攻撃者に詐欺行為をより巧妙に見せかけるための文脈情報を与える可能性があります。

例えば犯罪者は、正当な金融・不動産に関する詳細情報をフィッシングメール、電話、なりすまし、その他のソーシャルエンジニアリングの手口に組み込むことができます。 

今回の侵害から得られた情報は、他の情報源から得たデータと組み合わせることで、被害者についてより詳細なプロファイルを構築するために使われる可能性もあります。

個人が取るべき対策

同様の侵害の影響を受けた個人は、フィッシング、詐欺、なりすましのリスクを軽減することに重点を置くべきです。

• 個人情報や金融情報を求める予期しないメール、電話、テキストメッセージ、書面には注意し、対応する前に公式チャネルを通じて内容を確認する
• 銀行口座、信用情報、その他の金融活動を監視し、不正な取引やなりすましの兆候がないか確認する。必要に応じて不正利用警告やクレジットフリーズの利用を検討する
• 金融機関、メール、その他の機密性の高いアカウントで多要素認証(MFA)を有効化し、公式の侵害通知に記載された追加の注意事項に従う

組織が取るべき対策

機密性の高い個人・金融・政府データを扱う組織は、予防的統制と監視・インシデント対応の両方を組み合わせるべきです。

• 異常なデータベースクエリを監視し、大量エクスポート、不審な特権アクティビティ、不審なデータ転送など、不正アクセスやデータ流出を示す兆候を検知する
• 最小権限の原則を徹底し、特権アカウントやサービスアカウントを定期的に見直し、不要な権限や侵害されたセッションを取り消す
• データ損失防止(DLP)、レート制限、エクスポート制限を導入し、機密情報の不正な大量抽出を検知・防止する
• 機密データを保持するシステムの認証、暗号化、認証情報管理を強化し、侵害の疑いが生じた際には認証情報や認証トークンをローテーションする
• 機密性の高いデータベースやアプリケーションを他のシステムからセグメント化し、不要なネットワーク接続を制限することで、横展開や不正アクセスのリスクを低減する
• 包括的なログ記録を維持し、侵害の疑いが生じた後は脅威ハンティングを実施するとともに、攻撃者がどのシステム・データにアクセスしたかを特定するためのフォレンジック証拠を保全する
• インシデント対応計画をテストし、データ流出やフィッシング攻撃のシナリオを用いた攻撃シミュレーションツールを活用する

結論

今回のDGFiPの侵害は、特に価値の高いデータストアについて、大量データアクセス、エクスポート、データ流出に関する統制を検証する必要性を浮き彫りにしています。

セキュリティチームは、初期侵入経路やZeroBytesによるさらなる主張の詳細についても調査の行方を注視すべきでしょう。これらは、他の大量データを扱う環境にも関係するセキュリティ上の欠陥を明らかにする可能性があります。

ゼロトラストは、アクセスを継続的に検証し権限を制限することで、初期侵害後の被害範囲を抑えるうえで、この種のインシデントに役立ちます。