フランスの税務当局は今週、約678,000人の納税者に関連する個人情報が流出するサイバー攻撃を受けたと確認しました。今回の侵害は個人および専門職の納税者の双方に影響しており、攻撃者がどのように政府システムへアクセスしたのかを解明する調査が始まっています。

この事件は、フランス公共部門全体で高まるサイバーセキュリティへの懸念に拍車をかけるものです。国家雇用機関のFrance Travailは2024年3月、約1,000万人の現職・元求職者のデータが流出した侵害を公表しており、ダックスやコルベイ＝エソンヌの施設を含むフランスの病院も近年、ランサムウェアの被害を受けています。当局は現在、攻撃者が具体的にどのような情報を入手したのか、また盗まれたデータがさらなる詐欺やなりすましの試みに利用され得るのかを解明しようとしています。

調査が進行中

フランスの税務当局である財務総局（Direction générale des Finances publiques）は、攻撃者が内部システムに不正アクセスした後、この事案を検知しました。報道によると、侵害は6月に発生し、盗まれた情報は8月に公開の場に現れたとされています。

フランス当局は影響を受けたシステムへのアクセスを制限し、技術的調査を開始しました。また、影響を受けた納税者に具体的なリスクと保護措置を通知する前に、盗まれた情報の範囲を評価しています。税務当局は公共機関であるためEUの一般データ保護規則（GDPR）の適用を受け、対象となる侵害はフランスのデータ保護機関であるCNILに72時間以内に報告する必要があり、リスクが高い場合には影響を受けた個人に直接通知することが求められます。

今回の事件は、税務当局の全国銀行口座データベースをめぐる別のセキュリティ侵害から数か月後に発生しました。先の事件では、攻撃者が政府職員の盗まれた認証情報を使用し、約120万の口座に関連する情報が流出した可能性があります。

サイバーセキュリティリスクの拡大

今回の侵害により、納税者を狙ったフィッシング、なりすましなどの金融詐欺のリスクが高まる可能性があります。フランスのサイバーセキュリティ当局は、犯罪者が税関連の機会を利用して個人情報や銀行情報を要求する偽のメッセージを送りつける事例が多いとすでに警告しており、納税者は公式ポータル「impots.gouv.fr」の個人スペースで本物の連絡かどうかを確認できます。

企業と個人の双方にとって、この事件は政府データベースが標的となった場合に生じる金銭的リスクを浮き彫りにしています。盗まれた税務情報は、犯罪者に非常に説得力のある詐欺の試みに利用できる信頼性の高い詳細情報を与え得ます。

当局は、侵害された情報の全容や攻撃者が使用した具体的なアクセス手法についてはまだ公表していません。調査が続けられているため、最終的な金銭的影響は依然として不明です。