フランス経済・財務省は、税務を担う公共財政総局（DGFiP）のシステムが不正アクセスを受け、67万8,000人分の個人情報が盗まれたと発表しました。攻撃者は職員らの正規の認証情報を悪用して6〜7月に侵入したとみられ、納税者の課税所得や源泉徴収税率などが流出しました。政府機関を狙った大規模な情報流出として、欧州で波紋を広げています。
課税所得や地籍データが流出
盗まれた情報には、個人の基準所得や家族構成に応じた課税上の「世帯係数」、源泉徴収税率といった税務データが含まれます。企業についても社名や事業者識別番号（SIREN）が流出したほか、住所や不動産の面積に関する地籍データも被害に遭いました。納税者のプライバシーの核心に触れる情報が広範に漏れた形です。
盗まれた職員IDで侵入
攻撃の発覚は8月12〜13日で、「ZeroBytes」を名乗る攻撃者が盗んだデータベースをハッキング掲示板で売りに出したことがきっかけでした。攻撃者はDGFiP職員と認可された第三者の認証情報を盗み、6〜7月にシステムへ侵入したと主張しています。当局は侵入検知後ただちに該当アカウントを停止しましたが、手口が巧妙で、当初の点検では情報窃取の事実を把握できなかったとしています。
正規の認証情報が悪用された点が今回の特徴です。不正なプログラムを使う攻撃と違い、正しいIDとパスワードでのアクセスは通常の利用と見分けがつきにくく、検知が難しいためです。フランスのデータ保護当局（CNIL）は調査に乗り出しており、公的機関の情報管理体制が問われる事態となっています。
日本への影響
今回の流出は、日本の行政機関にとっても切実な教訓を含んでいます。日本では国税庁のe-Taxやマイナンバー制度を通じて、膨大な税務・個人情報がデジタルで管理されています。もし職員の認証情報が盗まれ悪用されれば、フランスと同様に大量の納税者情報が流出する危険があり、二段階認証の徹底やアクセス権限の厳格な管理が急務となります。
個人にとっての教訓も明確です。今回の攻撃は職員の正規IDの悪用が起点であり、フィッシングメールなどで認証情報を盗む手口が依然として最大の脅威であることを示しています。日本の読者には、行政サービスや金融機関を装う不審なメールやショートメッセージに安易に認証情報を入力しないこと、そして重要なサービスでは二段階認証を有効にしておくことが、現実的な防御策として求められます。行政のデジタル化が進むほど、一人ひとりの情報衛生が全体の安全を左右する時代になっています。
まとめ：盗まれたのは「正しい鍵」でした。私たち自身のIDとパスワードを守ることが、最大の防御になります。
出典：
BleepingComputer – French tax authority data breach affects 678,000 individuals
The Record – France investigates tax authority breach
Help Net Security – France’s tax authority admits hackers made off with data on 678,000 individuals
Photo: Julio Lopez / Unsplash
