フランスの税務当局であるDirection générale des Finances publiques(DGFiP)は、攻撃者がなりすまし認証情報を使って情報システムへの不正アクセスを行ったことにより、約678,000件の個人および法人に影響が及ぶデータ侵害が発生したと公表しました。
フランス経済財政省は8月14日、2026年6月から7月にかけて侵入が発生していたと発表しました。悪意ある攻撃者が8月12日と13日にこのアクセスについて犯行声明を出したことを受け、事案の範囲と影響についてより詳細な調査が行われました。
DGFiPによると、攻撃者はDGFiPの職員および認可された第三者の両方の認証情報になりすまし、内部システムにアクセスしていました。同局は侵入を検知した後、関連するアカウントをすべて直ちに無効化したとしています。
当初のアクセス制御調査では、データ窃取の証拠は確認されていませんでした。しかしその後の調査により、侵害されたアカウントが停止される前に、データの閲覧・抽出に使用されていたことが判明しました。
DGFiPは、当初流出の兆候を検知できなかった理由について、攻撃の巧妙さによるものだと説明しています。同局は、認証情報の入手やなりすましに使われた技術的手法、多要素認証が回避されたかどうか、また攻撃の背後にいる脅威アクターの正体については明らかにしていません。
今回の侵害では、個人および法人事業者に関わる税務・地籍関連情報が対象となりました。個人については、参照課税所得、家族係数(quotient familial)情報、源泉徴収税率、不動産関連の住所や面積データなどが流出した可能性があります。
法人に関連する情報としては、会社名や、フランスにおいて法人を識別するための事業者登録番号であるSIREN番号が含まれる可能性があります。
プレスリリースによると、影響を受けた利用者の正確な人数と、最終的に抽出されたデータの量については、現在も調査が続けられているとのことです。
DGFiPは、個人および法人の納税者が利用するオンラインの「Finances publiques」スペース自体は侵害されていないと強調しています。また、今回の事案でユーザーのログイン認証情報やパスワードが流出することはなかったとしています。
DGFiPは、データ窃取を確認した後、フランスのデータ保護当局であるCommission nationale de l’informatique et des libertés(CNIL)に通知を行いました。
同局はまた、経済財政省の防衛・安全保障担当高官部門(Haut fonctionnaire de défense et de sécurité)およびフランス国家情報システムセキュリティ庁(ANSSI)とも連携して対応にあたっています。
調査で新たな事実が判明したことを受け、DGFiPは機密性の高い情報システムへのアクセスを予防的に停止するなど、追加のセキュリティ対策を実施したと述べています。
この判断は、当局が今回の認証情報悪用によって、財務・地籍データを保有する政府システム全体により広範なリスクが生じていないかを評価していることを示しています。
同局は刑事告訴を行う方針を示しており、調査担当者が事案の全容を明らかにし次第、さらなる詳細を公表するとしています。
DGFiPは来週から、影響を受けた個人および法人への直接連絡を開始する予定です。電子メールまたは郵便で送付される通知には、閲覧または抽出された可能性のあるデータの内容と、関連するセキュリティ上の注意事項が記載されます。
影響を受けた利用者は、標的型フィッシング、不正な税務通知、なりすまし詐欺、そしてソーシャルエンジニアリングによる攻撃に十分注意する必要があります。
税務・法人・不動産に関する情報があれば、たとえ攻撃者が納税者ポータルのユーザー名やパスワードを持っていなくても、悪意あるコミュニケーションを信憑性の高いものに見せかけることができてしまいます。
今回の事案は、政府環境における特権IDの侵害がもたらすセキュリティ上の影響の大きさを浮き彫りにしています。認証済みのアカウントが1つ乗っ取られるだけで、財務・不動産情報を大量に含むリポジトリへのアクセスが可能になってしまうのです。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を高め、SOCを強化しMTTRを削減しましょう
翻訳元: https://cyberpress.org/french-tax-authority-data-breach/
