ハッカーは、67万8,000人超のフランスの個人と企業に関する税務情報を販売しており、フィッシング、個人情報窃取、Bitcoin保有者への標的化に利用され得る個人情報と金融情報の宝庫が流出した形だ。

氏名、住所、所得額などの識別可能な情報があれば、一般的な詐欺でも銀行、取引所、税務署、警察からの連絡のように見せかけ、もっともらしく装うことができる。Chainalysisによると、犯罪者は2025年に暗号資産関連の詐欺と不正で最低170億ドルを得ており、同年にはなりすまし詐欺の規模が1,400%以上拡大した。

ハッカーが販売しているもの

この売却を最初に報じたフランスのサイバーセキュリティ専門メディアFrenchBreachesは、データがフランス税務当局DGFiPのものであると伝えた。同メディアによると、ファイルには392,867人の個人と285,570人の専門職関係者が含まれている。サンプルには氏名、住所、電話番号、所得額、家族情報が含まれていた。

サンプルは潜在的な標的を示しているようだった。FrenchBreachesは、参照所得が少なくとも116,000ドルの人が26,805人、116万ドル超が386人、1,160万ドル超が8人いたと指摘している。

フランス財務省はハッキング事件が発生したことを認め、攻撃者が盗んだVPN認証情報を使って6月末ごろに同庁の内部検索ツールの1つへアクセスしていたと明らかにした。攻撃者のシステムへのアクセスは「定期点検」の際に遮断されたが、その時点ではデータ窃取自体は発見されなかった。Cryptopolitanによると、この事件の影響は678,000人の利用者に及び、個別通知がまもなく送付される予定だという。ただし、事件の全容はなお調査中だ。

なぜBitcoin保有者が最も影響を受けるのか

Bitcoinのセキュリティ提唱者Jameson Loppは、この漏えいが特にフランスで深刻だと警告した。彼はフランスを「wrench attacks」の主要国と説明し、流出したデータセットには10万ユーロ超の所得者26,805人と100万ユーロ超の所得者386人が含まれていると指摘した。

Loppはすでに2026年1月にも、フランスの税務当局職員が特権アクセスを使って暗号資産保有者を特定したとされる別件を受け、フランスの暗号資産標的化問題への懸念を示していた。今回、DGFiPの侵害により詳細な納税者情報が漏えいした。両件を関連づけて語るべきではないが、セキュリティ上の懸念が連続していることは明らかだ。

フランス税務当局がハッキングされ、678K件の記録が流出した。wrench attacks の主要国に住むBitcoin保有者にとって、また悪い知らせだ。所得100K€超が26,805人、1M€超が386人、10M€超が8人。 — Jameson Lopp (@lopp) August 14, 2026

CertiKのデータはLoppの発言を裏づけている。同ブロックチェーンセキュリティ企業は、2026年上半期に世界で確認されたwrench attacksを52件記録し、そのうち33件がフランスで発生した。したがってフランスはCertiKのデータセットの63.5%を占め、国別では最大の拠点となっている。CertiKによれば、フランスでwrench attacksが高い割合で発生する背景には、国内の大きな暗号資産産業、悪名高い経営者たち、公然と示される贅沢、そして機微なデータ漏えいの発生があるという。

このため、今回の漏えいは単なるプライバシー侵害にとどまらない。包括的なデータベースがあれば、犯罪者は自ら行うはずの下調べを省ける。氏名は相手が誰かを示し、住所はどこを探すべきかを示し、所得情報は標的が追う価値のある相手かどうかを示す。CertiKはこの過程を「data-driven targeting」と呼び、漏えい情報をソーシャルメディア、ブロックチェーン活動、公開情報と組み合わせることを意味すると説明している。

フランスは、暗号資産犯罪がデジタル空間から物理的現実へ移行することの意味をすでに経験している。Cybermalveillance.gouv.frは、暗号資産プラットフォームや銀行の不正対策チーム、法執行機関の職員を装い、人々に資金の送金や機微情報の提供を促す詐欺師について報告してきた。法執行当局は、脅迫、身体的暴力、誘拐の事案に直面している。

ただし、セキュリティ機能を備えるだけでは十分ではない。高額資産の保有者は、個人情報を公に開示しない、重要な資金を複数のウォレットに分散する、複数署名を使う、機微な復旧データを安全な場所に保管することで、露出を減らせる。漏えいに情報が含まれた可能性のある人は、今後の詐欺が自分に関する正確な情報を伴い、非常にもっともらしく見える可能性があると想定すべきだ。

規制当局が追っているパターン

今回の漏えいは、フランスがより広範なデータセキュリティ問題に直面する中で発生した。フランスのデータ保護当局CNILは、2026年の主要な執行優先事項としてサイバーセキュリティを位置づけている。

しかし、規制措置では、いったん複製され販売された情報を消し去ることはできない。これは暗号資産利用者にとって特に重要だ。暗号資産は一度取引が行われると、後戻りができないからだ。

ADANによると、フランスでは約11%の人が暗号資産を保有しており、潜在的な被害者は非常に多い。

今回の漏えいは、フランス国内のすべての暗号資産保有者が物理的な危険にさらされることや、ハッカーがその情報を使って直接攻撃を行うことを意味するわけではない。ただし、CertiKの統計が示す通り、この漏えいが非常に機微な性質を持つことは確かだ。

影響を受ける可能性のある納税者は、送信者がどれだけ個人情報を知っていそうでも、予期しない電話、メール、テキストには慎重であるべきだ。パスワード、復旧フレーズ、秘密鍵は絶対に渡してはならず、リンクや連絡先は不審なメッセージ内のものを使わず、該当機関のウェブサイトやアプリを直接開くべきだ。

教訓は明快だ。個人データは攻撃対象領域の一部である。暗号資産の世界では、取り消し不能な取引の直前にある最後の障壁が信頼であることが多く、盗まれた情報は詐欺を本物らしく見せる道具にも、犯罪者が標的を選ぶ判断材料にもなり得る。