仏税務当局で60万件超の情報流出、職員パスワード悪用による被害が7週間見過ごされた原因をANSSIが報告

要点

• フランス税務当局（DGFIP）で職員の盗難パスワードが悪用され、個人35万人超・企業25万社超の税務データや約43万世帯の土地登記データが窃取された。
• 攻撃者は私物PCからマルウェアで盗まれた認証情報を使い、単一要素認証のポータルや省庁間ネットワークの分離不備を突いて侵入した。
• セキュリティ監視チーム（SOC）がパスワードリセットを実施したものの、確立済みセッションが切断されず、データ窃取が継続していた。
• 「高度な攻撃」としていた当初の政府説明に反し、サイバーセキュリティ機関（ANSSI）の調査により初歩的な認証保護や監視の不備が原因と判明した。

リード文

フランスの国家サイバーセキュリティ機関（ANSSI）は2026年9月、同国の税務当局である財政公共総局（DGFIP）が受けたサイバー攻撃に関する調査報告書を公開した。職員の盗まれたパスワードが悪用され、60万件を超える個人や企業の税務データが流出していたが、最初のデータ窃取から約7週間にわたって検知されていなかったことが判明した。当初監督省庁は「攻撃の高度さ」を理由に挙げていたが、ANSSIはログイン保護の甘さやネットワーク分離の不備、セッション管理の甘さが原因であったと指摘している。

被害の規模：個人35万人・企業25万社の税務データが流出

被害を受けたのは、DGFIPが運営する税務ポータル「impots.gouv.fr」内で、納税者が当局とやり取りを行う連絡ツール「E-Contact」のデータである。

DGFIPによると、影響を受けたのは個人納税者35万人強と法人25万社強に上る。納税者本人のアカウントやパスワードは侵害されていない。流出したデータには、個人の税番号、連絡先、家族構成、基準課税所得、源泉徴収税率、メッセージ送受信履歴が含まれ、250人未満についてはメッセージ本文も閲覧された恐れがある。法人データでは社名、企業登録番号（SIREN）、住所、メッセージ概要が含まれ、2,076社未満で本文閲覧の可能性がある。

さらに、上院財政委員会の調査メモによると、別のルートを通じて約43万5,000世帯分の土地登記データも持ち出されていたことが明らかになっている。

2つの侵入経路：私物PCのマルウェア感染と省庁間ネットワークの悪用

ANSSIの報告書によると、攻撃者は2つのルートを使って侵入していた。

1. 職員アカウントを用いた税務データの窃取

第1のルートでは、3カ月間にわたり収集された数十人のDGFIP職員のパスワードが悪用された。これらの認証情報は、DGFIPの管理外にある職員の私物PCなどから、保存されたログイン情報を盗み出すマルウェア「インフォスティーラー」によって窃取されたとみられる。

職員が利用するWebポータル「PIGP」や業務アプリ用ポータル「ADER」はパスワードのみでログイン可能であり、多要素認証が導入されていなかった。攻撃者はまず、各省庁を結ぶネットワーク「RIE」に接続された教育省のシステムを侵害し、そこを経由してRIE内部に侵入した。RIE内では機密性の高い税務システムが適切に分離されておらず、特権のない一般アカウントであっても大量のデータにアクセスできる状態だった。攻撃者はスクレイピングツール（Webページを自動巡回してデータを抽出するツール）を用い、E-Contactから機械的にデータを吸い上げていた。

2. パートナー向けポータル経由の土地登記データ窃取

第2のルートは、公証人や測量士などのパートナー向けポータル「APEX」を経由した土地登記データの窃取である。APEXはパスワードとメール送信されるワンタイムコードを求めていたが、民間測量士のPCが侵害されたことでコードを回避された可能性があるという。この手口により、7月27日から8月8日にかけてデータが取得された。

なぜ7週間も見過ごされたのか：不完全なパスワードリセットと監視の盲点

今回の不正アクセスが明るみに出たのは、最初のデータ窃取から7週間が経過した8月12日、攻撃者がオンラインフォーラムで犯行声明を出したことがきっかけだった。これを受け、セバスチャン・ルコニュ首相がANSSIに詳細な監査を指示した。

DGFIPのセキュリティ監視チームであるSOC（セキュリティオペレーションセンター：攻撃監視を行う専門チーム）は、侵害アカウントを検知した際にパスワードをリセットする運用を行っていたが、攻撃を阻止できなかった。

6月7日には不審な検索を検知して即日パスワードをリセットしたものの、攻撃者がPIGPからADERへ移動したことを見落としていた。さらに6月23日には脅威インテリジェンス機関から通知を受け、翌24日未明にスクレイピングが開始された後、SOCは午前10時40分にパスワードリセットを実施した。しかし、この対応はPIGP上のアラートに対処したのみで、ADER上で確立されていたアクティブなセッションを強制切断しなかった。その結果、パスワード変更後もデータ流出は止まらず、翌25日未明まで約16時間にわたってデータが盗まれ続けた。

ANSSIの報告書は、攻撃が決して高度なものではなく、認証保護の甘さやセッション管理の不備、ネットワーク監視の隙間が重なったことで被害が長期化した実態を浮き彫りにしている。