フランス税務当局のデータ漏洩で67万8000人が影響を受ける

フランス経済財務省は、攻撃者が公共財政総局（DGFiP）のシステムに侵入し、67万8,000人の個人データを盗み出したデータ漏洩事件を公表した。

この事案は、8月12日にハッキングフォーラム「PwnForums」において、「ZeroBytes」というハンドルネームを使用する脅威アクターが攻撃を自供し、盗んだデータベースを販売に出品したことを受けて発覚した。

「2026年8月12日以降に行われた詳細な調査により、攻撃が阻止される前に、 これらのアクセス経路を通じて、計67万8,000人の個人および事業者に関するデータが閲覧・抽出されていたことが判明した。これには、課税所得、家族係数、源泉徴収税率などの税務データに加え、企業については社名やSIREN番号などのデータが含まれていた」とフランス財務省は述べた。

「住所や不動産の面積に関する地籍データにもアクセスされていた。これらのデータ漏洩が確認されるやいなや、フランス公共財政総局（DGFIP）はフランスデータ保護委員会（CNIL）に通報した。個人および事業者のオンラインアカウントは侵害されておらず、ユーザーIDやパスワードも漏洩していない。」

攻撃を検知した後、フランス税務当局は機密情報システムへのアクセスを遮断し、フランス国家サイバーセキュリティ庁（ANSSI）の協力を得て、侵害の全容を把握するため、引き続き調査を進めている。

ハッキングフォーラムへの投稿の中で、ZeroBytesは、フランス税務当局が運営するオンラインプラットフォーム「Serveur Professionnel de Données Cadastrales（SPDC）」へのアクセスも獲得したと主張した。このプラットフォームは、同国の中央土地登記簿および不動産所有権記録へのアクセスを提供するものである。

​このポータルを通じて約2,000万人のフランス国民に関するデータにアクセスできたものの、攻撃者は、200万人以上のデータを含む252,149件のレコードしか盗み出せなかったと主張している。

「正直なところ、データのスクレイピング作業があまりにも厄介で、数ヶ月はかかってしまうため、抽出を完了できなかった。 まだ管理画面にログインしたままだから、もし欲しければデータベースと一緒に買ってくれ」と彼らは述べた。「どうせこれにはあまり高い値段はつけないつもりだ。そしていつものことだが、フランス側はこの事件について一切言及していない。」

フランス財務省は金曜日、来週から影響を受けたすべての個人に対し、電子メールまたは手紙で連絡を取り、どのようなデータがアクセスまたは盗まれた可能性があるか、および講じるべき必要な予防措置に関する詳細を伝えると付け加えた。

これは、ここ数ヶ月間にフランスの複数の政府機関を襲った一連のサイバー攻撃やデータ漏洩事件の、最新の事例に過ぎない。

1月には、ハッカーが4,300万人の個人情報を盗み出したことを受け、フランスのデータ保護当局が国立職業紹介機関「フランス・トラヴァイル（France Travail）」に500万ユーロの罰金を科した。 その1か月後、フランス財務省は、ハッカーが全国銀行口座登録システム（FICOBA）からデータベースを盗み出したことを受け、120万件以上のユーザーアカウントに影響が及んだ別のデータ漏洩を公表した。

さらに最近では、行政文書の発行・管理を担当する政府機関「フランス・ティトレ（France Titres）」も、国家安全文書庁（ANTS）から盗まれたとされる1,900万件の記録を含むデータベースを、ある脅威アクターが販売に出したことを受け、データ漏洩を公表した。