速報：重要インフラを担う政府機関が直面し続けるサイバーセキュリティ上の課題が浮き彫りに
フランス内務省は金曜日、今週同省のメールサーバーがサイバー攻撃の標的となったことを認めた。これは、2024年から2025年にかけてフランス政府インフラを襲っている一連の重大なセキュリティインシデントの最新事例となる。
ローラン・ヌニェス内務大臣はRTLラジオのインタビューでこの侵害について明らかにし、攻撃者が同省のメールシステムから複数のファイルにアクセスすることに成功したと述べた。ただしヌニェス氏は、現時点で侵害されたファイルが深刻な損傷を受けたり、広範に悪用されたりした証拠はないとし、事態の深刻さをやや抑えて説明した。
攻撃の詳細と対応
この侵害は、2025年12月9日から13日の週のいずれかの時点で発生し、フランス内務省のメールインフラを標的とした。同省は国内治安、法執行機関の調整、国家警察の運用を担う機関であり、フランス政府の中でも最も機微な安全保障オペレーションを所管している。そのため、国家主体の攻撃者やサイバー犯罪グループにとって格好の標的となっている。
「サイバー攻撃がありました。攻撃者は複数のファイルにアクセスすることができました……しかし、それらが深刻に危殆化した証拠はありません」とヌニェス氏はRTLラジオに語った。同氏は、侵入を受けて同省が即座に防御措置を講じたことを強調した。
同省の対応には、システムへのアクセス制御の強化や、職員向けの追加セキュリティプロトコルの導入が含まれている。「私たちは保護措置を講じました。職員がコンピューターシステムにアクセスする条件を強化しました」とヌニェス氏は述べ、現在正式な捜査が進行中であると付け加えた。
重要な点として、フランス当局はまだこの攻撃を特定の脅威主体や国家に帰属させていない。侵害の発生源は現時点では不明であり、これが高度な国家支援型ハッカーによるものなのか、ランサムウェアオペレーターなのか、あるいはハクティビスト集団によるものなのかという疑問が残されている。
背景：フランスで高まるサイバー脅威
今回のインシデントは、フランス政府機関を取り巻くサイバー脅威環境が一段と厳しさを増す中で発生した。2024年を通じて、フランスの公共部門インフラを狙うサイバー攻撃は劇的に増加しており、フランス国家情報システム安全保障庁（ANSSI）は前年と比べてセキュリティ事案が15％増加したと報告している。
ANSSIの「2024年サイバー脅威概観」によると、同庁は1年間で4,386件のセキュリティ事案に対応し、その内訳は3,004件の通報と1,361件の確認されたインシデントだった。同報告書は、フランスの政府機関が複数の脅威グループから継続的な標的となっていることを指摘し、その例として以下を挙げている。
- ロシアのAPT28（Fancy Bear）：ロシア軍参謀本部情報総局（GRU）と関連付けられているこのグループは、2021年以降、フランスの政府機関、外交機関、研究機関に対して広範なスパイ活動を展開してきた。フランス当局は2024年に複数の攻撃をAPT28の仕業と公式に認定し、同グループに関係する個人や団体に制裁を科した。
- 中国系侵入グループ：ANSSIは2024年を通じて、中国系脅威アクターに関連する活動が「特に濃密かつ広範」であったと記録しており、その主目的は戦略的・経済的な情報収集だとしている。
- サイバー犯罪系ランサムウェアグループ：ランサムウェア攻撃は2020年比で128％という驚異的な増加を示し、民間企業、地方自治体、高等教育機関、戦略的重要企業が頻繁に標的となった。
内務省の侵害は、近年フランス政府を襲った他の重大なサイバーセキュリティインシデントに続くものである。
2024年3月：「前例のない激しさ」のDDoS攻撃
2024年3月には、約2,000のフランス政府系ウェブサイト（法務省、文化省、財務総局などを含む）が分散型サービス妨害（DDoS）攻撃を受けた。ガブリエル・アタル首相はこれを「前例のない激しさ」と表現した。ハクティビスト集団Anonymous Sudanが犯行声明を出し、サービスに混乱をもたらしたものの、最終的にはフランスのサイバーセキュリティチームによって封じ込められた。
2024年2月：医療関連データ侵害
フランス史上最大規模のデータ侵害が発生し、医療費支払いサービスプロバイダー2社（ViamedisとAlmerys）が攻撃を受け、約3,300万人分、フランス人口のほぼ半数に相当する個人データが流出した。
2024年3月：France Travailでの大規模侵害
フランスの失業給付機関France Travailは壊滅的な攻撃を受け、4,300万人分のデータが侵害された。そこには氏名、生年月日、社会保障番号、メールアドレス、電話番号など、過去20年分の情報が含まれており、フランスのほぼ全労働人口を網羅する規模だった。
2024年4月：サン＝ナゼール市の自治体システム
複数のフランスの都市が協調的なサイバー攻撃によりオンラインサービスを停止させられ、サン＝ナゼール市では一部の当局者が「戦争行為」とまで表現する事態となり、重要な自治体ITインフラが機能不全に陥った。
ローラン・ヌニェス：危機対応を率いるセキュリティの専門家
内務省の侵害は、ヌニェス氏が2025年10月にブルーノ・ルタイヨー氏の後任として内務大臣に就任してからわずか2か月後に発生した。ヌニェス氏は、以下の経歴を持つサイバーセキュリティおよびインテリジェンス分野の豊富な実務経験を新たな役職に持ち込んでいる。
- 2017〜2018年：フランス対内治安総局（DGSI）長官
- 2020〜2022年：国家情報・テロ対策調整官
- 2022〜2025年：パリ警視庁長官として、2024年パリ五輪の治安オペレーションを成功裏に統括
彼の任命は、政治的な象徴性よりも実務能力を重視した人事として広く受け止められた。これは特に、フランスの治安機構に精通し、危機管理の経験が豊富である点が評価されたためである。4万3,000人の治安要員を動員し、大きなインシデントなく2024年五輪の安全を確保した実績により、ヌニェス氏は2025年初頭にレジオン・ドヌール勲章シュヴァリエ（司令官級）を授与された。
未解明の点
今回の侵害については、依然としていくつかの重要な疑問が残されている。
攻撃主体の特定（アトリビューション）：誰が攻撃を行ったのかが分からなければ、その戦略的目的や継続的なリスクを評価することはできない。これは国家によるスパイ活動なのか、身代金目的のランサムウェアグループなのか、それともハクティビストによる攪乱なのか。
侵害の範囲：ヌニェス氏は「深刻な危殆化の証拠はない」と述べているが、実際にどの程度のデータが流出したのか、アクセスされたファイルの機微性については明らかにされていない。メールサーバーには通常、膨大な量の機密性の高い業務連絡が含まれている。
攻撃ベクター：攻撃者はいかにして最初のアクセスを得たのか。高度なサプライチェーン攻撃なのか、フィッシングによる認証情報の窃取なのか、既知の脆弱性の悪用なのか。
タイムライン：「今週」という曖昧な表現のため、侵害が正確にいつ発生したのか、攻撃者がどれくらいの期間システム内に潜伏していたのか、そして完全に排除されたのかどうかが不明なままである。
データ流出の有無：攻撃者が単にファイルにアクセスしただけなのか、それとも大量の機密政府通信やデータを実際に持ち出したのかは、依然として明らかになっていない。
政府サイバーセキュリティへの示唆
今回のインシデントは、世界中の政府機関が直面しているいくつかの重要な課題を浮き彫りにしている。
1. メールシステムは高価値ターゲット：政府のメールインフラは、情報収集を狙う脅威アクターにとって魅力的な標的である。メールにはしばしば、機微な政策協議、作戦計画、個人情報が含まれている。
2. 多層防御（ディフェンス・イン・デプス）の必要性：国家安全保障を直接所管するフランス内務省のように、高度なセキュリティ体制を持つ組織であっても、執拗な攻撃者に対しては依然として脆弱であることが示された。
3. 迅速な対応の必然性：侵害後すぐにアクセス制御の強化を実施したことは、事後の封じ込めと防御強化が被害を最小限に抑えるうえで極めて重要であるという認識を示している。
4. 持続的な脅威環境：2024〜2025年を通じたフランスの経験は、政府機関が多様な敵対者から、複数の攻撃手法による持続的な脅威に同時並行でさらされていることを物語っている。
5. 透明性のジレンマ：侵害について透明性を確保すること（他組織の防御に資する）と、攻撃者に手の内を明かさないための作戦上の秘匿性を維持することのバランスは、依然として難しい課題である。
今後の見通し
捜査が続く中、今後注視すべき動きはいくつかある。
- アトリビューション：フランスの情報機関とANSSIは、技術的分析と情報の突き合わせを通じて攻撃者の特定を試みるだろう。
- 立法面での対応：今回の侵害は、NIS2指令の要件をフランス国内法に実装する動きを加速させる可能性がある。
- 防御強化：フランス政府のITインフラ全体で、さらなるセキュリティ対策の導入が見込まれる。
- 国際協力：国家主体による攻撃と特定された場合、外交的対応や、場合によっては対抗措置が取られる可能性がある。
内務省の侵害は、政府のサイバーセキュリティが、ますます高度かつ執拗になる敵対者に対抗するため、絶えず進化し続ける必要があることを改めて示すものだ。ヌニェス大臣がANSSIの2024年脅威評価で述べたように、国際的なパートナーとの協力を通じてサイバー犯罪エコシステムに継続的な圧力をかけることは、フランスのサイバー防衛態勢にとって不可欠である。
重要インフラを運用する組織にとって——それが政府であれ民間であれ——今回のインシデントは、基本的なセキュリティ原則を再確認させるものだ。すなわち、「侵害を前提とする」姿勢、多層防御の実装、迅速なインシデント対応能力の維持、そして進化し続ける脅威環境に絶えず適応していくことである。
