セキュリティ
流出した情報は連絡先情報から家計の財務状況、源泉徴収税率にまで及ぶ
フランスの税務当局は、先週確認したデータ侵害において、数百人の納税者とやり取りしたメッセージの内容が攻撃者に窃取された可能性があると発表しました。
フランス公共財政総局（DGFiP）は今週公表した最新情報の中で、当局とやり取りしたメッセージの一覧が流出したことを明らかにしました。約250人については、メッセージそのものの内容も流出した情報に含まれていたとしています。
影響を受けた個人は35万人強に上ります。流出したその他の情報には、納税者番号、婚姻状況、メールアドレス、郵送先住所、電話番号などが含まれます。
税務記録からは、世帯構成、扶養家族数、家族除数、参照課税所得、源泉徴収税率といった詳細情報も流出しました。
個人情報や税務情報以外にも、流出したデータセットには元々公開されていた情報も含まれていたとDGFiPは説明しています。
約25万の企業・事業者については、流出したデータは会社名と、フランス企業に割り当てられる9桁の固有識別番号であるSIREN番号に限定されていました。
流出した地籍データは物件の住所と面積に限られており、これらは元々公開されていたものだとDGFiPは述べています。
DGFiPは今週、影響を受けた納税者にメールまたは郵送で通知しているとしています。
DGFiPの最新のFAQによると、影響を受けた対象者の総数は約60万人とされています。これは、サイバー攻撃の実行犯とされる「ZeroBytes」が200万件を超えるデータを窃取したと主張した直後に、DGFiPが先週発表した「67万8000人の個人および事業者」という数字よりも少なくなっています。この食い違いについて当局は説明していません。
今回の通知では、犯罪者が窃取した情報を悪用し、フィッシング詐欺をより説得力のあるものに見せかける可能性があると警告しています。
DGFiPは、なりすまし行為やCEO詐欺、偽の銀行アドバイザーを装った詐欺などが今後発生しうる二次攻撃として挙げられるとしています。また同局は、電話・テキストメッセージ・メールで暗証番号や本人確認書類などの機微な情報の提供を求めることは一切なく、そうした情報が必要な場合は同局の安全なポータルを通じてのみ依頼すると述べています。
これとは別に、税務当局は相続人不明の遺産を検索するために使われる政府の「空き相続財産ポータル」（PSV）に「技術的な脆弱性」が存在したことも公表しました。
DGFiPはこの不具合を発見した後、同サービスを停止しました。個人データが流出した証拠は現時点では確認されていないとしていますが、申請者の情報が流出した可能性についての調査は継続中です。
今回の事件は、フランス公共部門にとってサイバーセキュリティ面で厳しい一年となっている状況に、さらに拍車をかける形となりました。
2月には、DGFiPを所管する財務省が、120万人に影響が及んだ国民の銀行口座情報を含むデータベースへの侵入を認めています。
保健省は3月、ヘルステック企業Cegedim Santéへの攻撃により、1580万件の管理ファイル（うち16万5000件には医師の所見が含まれる）が窃取されたことを確認しました。
その1か月後には、15歳の少年がフランスの身分証明書を管理するFrance Titresへの攻撃に関与したとされる事件が発生しました。攻撃者は、この侵害により1800万人から1900万人が影響を受けたと主張しています。
さらに6月には、フランス政府は政府の暗号化メッセージングプラットフォームTchapの侵害疑惑についても調査を開始しました。攻撃者は、7万3000件のユーザーアカウント、64万3000件のメッセージ、そして約6万件のメディアファイルにアクセスしたと主張しています。 ®
