フランス財務総局の情報システムからのデータ窃取
- タグ
- 国外
フランス政府の書面答弁によると、財務総局（DGFiP）では2026年夏に、納税者の税務データと地籍データが窃取され、相続人不在の相続の検索ポータルでもセキュリティの欠陥が悪用された［10］。対象の全利用者への通知は終えた［10］。
経緯
納税者データの持ち出し
経済・財務省の2026年8月14日の発表によると、不正アクセスは6月と7月に行われた〔注1〕［5］。DGFiPの職員1人と、権限を持つ第三者1者の識別子が不正に使われた［5］。DGFiPは侵入を検知した直後に、特定した事故で使われた全アカウントのアクセスを遮断した［5］。その際のアクセスの確認では、攻撃の高度さのため、侵入がデータの窃取に至ったことを検知できなかった［5］。
DGFiPは個人向けFAQで、データの窃取は通常の経路を迂回して行われ、8月12日以降にしか確定できなかったと説明した［2］。
ANSSI（国家情報システムセキュリティ庁）の報告書によると、攻撃者のアクセスは、3か月にわたるDGFiPの正規の職員の認証情報数十件の窃取と、国の省庁間ネットワーク（RIE）へのアクセスを与えた別の省の侵害で可能になった［9］。認証情報は、DGFiPが管理しない端末上のインフォスティーラーで盗まれたとみられる［9］。RIEの利用は、RIEにつながる国民教育省の基盤の侵害で可能になった［9］。持ち出しは主張の7週間前に行われ、その前の数週間、RIEなどからDGFiPのアプリケーションが探索された［9］。
ANSSIは、侵害は高度な攻撃の結果ではなく、識別・アーキテクチャ・検知の3分野の弱点の悪用によるとした［9］。窃取データは、DGFiPの利用者との関係管理のツールから得たものだった［9］。どの持ち出しも、DGFiPとANSSIの監視の手段では検知されなかった［9］。
ANSSIの報告書では、事故の間、DGFiPのSOCは、攻撃者がE-Contactの情報の持ち出しに使ったADERポータルを監視していなかった［9］。6月22日〜25日の接続の通信量は11GBだった［9］。7月21日〜23日は3GBで、どちらの通信量も警告を出さなかった［9］。
ANSSIは報告書の時系列で、8月6日に不審な通信のIPアドレス2件をDGFiPに知らせたと記した［9］。DGFiPは8月11日に、不審な接続を確認したとANSSIに回答した［9］。5アカウントを再設定し、知らされた2件のIPアドレスを遮断したとした［9］。
政府の答弁では、第1の事故で別の省の複数の識別子が不正に使われ、その省のネットワーク、RIE、DGFiPのADERポータルの順にアクセスされた［10］。不正使用された職員の識別子は、異常の検知と、闇市場の販売リストに載っているとの外部の通報を受けて再設定され、攻撃は中断した［10］。当時の調査では、8月12日の主張まで攻撃を検知できなかった［10］。
地籍データの持ち出し
ANSSIは報告書で、民間の事務所の測量士の端末が侵害され、メールによる二要素認証が回避されたと書いた［9］。持ち出しはAPEXポータルを通じて行われたとみられるとした［9］。
政府の答弁では、外部の提携先（規制職業）の識別子・パスワードとメールの認証情報が盗まれ、メールで一時コードを送る二要素認証が無効になった［10］。
脆弱性によるデータの抽出
DGFiPはFAQで、相続人不在の相続の検索ポータル（PSV）は、氏名と死亡日から、相続人不在の相続かどうかと、裁判官がDGFiPの部署を管理者に指名したかを調べられる公開のポータルで、公開データだけを含むと説明した［4］。公開のサービスを止めた後、悪意ある第三者がデータの窃取を主張し、ポータルからのデータの抽出が確認された［4］。DGFiPは調査で、抽出されたデータにGDPRの対象となる機密データは無いと確認した［4］。Espace Finances publiques経由の認証版のポータルは脆弱性の影響を受けず、中断なく使えた［4］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | - | 侵害されたアカウントで4時26分からE-Contactのデータが数時間持ち出され、10時40分のパスワードの再設定でも止まらなかった | ［9］ |
| 2026年 | 攻撃者 | E-Contactのデータの自動の持ち出しを7時28分から11時33分まで行い、16時20分から17時16分にも持ち出した | ［9］ |
| 2026年 | - | 地籍データにアクセスされ、持ち出された | ［9］ |
| 2026年 | Zerobytes | オンラインのフォーラムでimpots.gouv.frのデータの窃取を主張した | ［9］ |
| 2026年 | ANSSI | DGFiPに通知した | ［9］ |
| 2026年 | Zerobytes | 朝に窃取データの詳細を公開し、地籍データについても主張した | ［9］ |
| 2026年 | 経済・財務省 | DGFiPの情報システムへの不正アクセスとデータの窃取を発表した | ［5］ |
| 2026年 | - | 民間の事務所の測量士のアカウントの侵害が地籍データの持ち出しの元と特定され、アカウントは無効化され、ポータルへのアクセスは閉じられた | ［9］ |
| 2026年 | - | PSVで技術的な脆弱性が見つかり、公開のサービスが修正まで止められた | ［4］ |
| 2026年 | DGFiP | 個人への通知を始めた | ［2］ |
| 2026年 | DGFiP | 職員アカウントの公的管理のインターネットポータル（PIGP）へのアクセスを止め、測量士の事務所の全アカウントを無効にした | ［9］ |
| 2026年 | DGFiP | 個人向け・事業者向け・PSVのFAQを出し、事業者への通知を始めた | ［2、3、4］ |
| 2026年 | 経済・財務省 | 地籍データの専門家向けサーバー（SPDC）の外部アクセスの停止と暫定措置を発表した | ［7］ |
| 2026年 | ANSSI | 事故の報告書を出した | ［9］ |
| 2026年 | - | PSVの公開のサービスが再開した | ［4］ |
影響範囲
| 項目 | 値 | 示した組織 | 資料 |
|---|---|---|---|
| 個人と事業者の合計 | 678,000 | 経済・財務省（2026年8月14日） | ［5］ |
| 個人 | 35万人強 | DGFiP（8月24日の個人向けFAQ） | ［2］ |
| 事業者 | 25万強 | DGFiP（8月24日の事業者向けFAQ） | ［3］ |
| 個人 | 353,000人〔注2〕 | 政府（10月27日の答弁） | ［10］ |
| 事業者 | 252,000 | 政府（10月27日の答弁） | ［10］ |
| 地籍データの個人と事業者 | 432,000〔注3〕 | 政府（10月27日の答弁） | ［10］ |
| 攻撃者の主張（税務データ） | 678,437件（個人392,867、事業者285,570） | ANSSI（OSINT・CTIによる） | ［9］ |
| 攻撃者の主張（地籍データ） | 200万人のフランス人 | ANSSI | ［9］ |
| 攻撃者の主張（報道） | 60万人超 | The Record（8月14日） | ［11］ |
ANSSIの報告書では、フォーラムでの主張の件数は6月24日の持ち出しのセッションに対応する［9］。The Recordは、ZeroBytesを名乗るハッカーの主張とデータの真正性は独立に検証されていないと報じた［11］。
| 区分 | 含まれる情報 | 資料 |
|---|---|---|
| 個人 | 税務上の識別番号、身分事項、住所・電話・電子メールの連絡先、税務状況、impots.gouv.frのメッセージ機能でDGFiPとやり取りしたメッセージの一覧 | ［2］ |
| 個人の税務状況 | 家族の状況、扶養人数、課税単位数、参照課税所得、源泉徴収税率 | ［2］ |
| 個人（250人未満） | メッセージの内容（窃取された可能性。添付ファイルは閲覧されていない） | ［2］ |
| 事業者 | SIREN番号、名称と住所、メッセージの一般情報（申請の識別子、日付、担当部署、様式の種類、状態） | ［3］ |
| 事業者（2076未満） | メッセージの内容（不正アクセスの可能性。添付ファイルは閲覧されていない。個別に通知した） | ［3］ |
| 地籍（FAQ） | 不動産の所在地と面積 | ［2、3］ |
| 地籍（政府の答弁） | 氏名、性別、生年月日と出生地、住所、区画に対する権利の種類 | ［10］ |
DGFiPは事業者向けFAQで、メッセージの内容は漏れておらず、申告・納付と口座情報も閲覧されていないと説明した［3］。SIREN番号・名称・住所は、大部分が既に公開の情報である［3］。不正アクセスは電子請求書の基盤と認定プラットフォームには及んでいない［3］。
DGFiPの案内ページによると、impots.gouv.frのサイトと利用者のEspace Finances publiquesは侵害されていない［1］。経済・財務省は第一報で、個人と事業者の識別子とパスワードも侵害されていないと発表した［5］。
DGFiPは個人向けFAQで、影響は主に、メッセージ（フィッシング）や電話を使った詐欺の試みだと説明した［2］。成りすましに使われることもありうるが、それには攻撃者が身分証の写しを別に入手する必要があるとした［2］。
対応と現状
DGFiPは個人向けFAQで、窃取を検知した直後に、使われた公務員のアカウントのアクセスを遮断したと説明した［2］。公務員が使うポータルの枠組みで、機微な情報システムへのアクセスを予防的に遮断した［2］。対象者の税務アカウントの保護を強め、今後数か月は住所や口座情報などの変更に特に注意を払う［2］。CNIL（情報処理と自由に関する全国委員会）に申し立て、告訴もした［2］。
経済・財務省の第一報では、DGFiPの情報システムのチームは、経済・財務省の国防安全高等官（SHFDS）の部局とANSSIと連携して対応している［5］。ANSSIは報告書で、職員と提携先のポータルのアクセスの遮断などの封じ込めの措置が、DGFiPと提携先のサービスに大きな影響を与えたと書いた［9］。監視の強化、強固な認証、攻撃面の縮小を柱とする行動計画がDGFiPについて定められたとも記した［9］。
DGFiPは8月24日のFAQで、個人への通知は電子メールで送り、メールアドレスが無い人には郵便で送ると説明した［2］。通知はGDPR第34条の通知義務に基づくもので、納税者の領域への直接のリンクを含まず、機密情報も求めない［2］。事業者向けFAQでは、DGFiPからのメッセージは常に「@dgfip.finances.gouv.fr」で終わる［3］。
CNILの8月18日の告知では、CNILはDGFiPの情報システムのデータ侵害の通知を受けて既にこの件を扱っており、調査に有用な固有の情報が無い限り、個別の苦情の申し立ては要らない［8］。CNILは、安全対策が最新の水準に合っているかを確かめる書面や現地での調査を行うことがあり、GDPRへの違反があれば制裁を科しうるとした［8］。
経済・財務省は8月18日の案内で、同じ日の16時にベルシーで、DGFiPが受けたサイバー攻撃への対応の状況を説明する記者会見を開くと告知した［6］。
地籍データのサーバーの停止
経済・財務省の9月18日の発表によると、8月に検知したデータの窃取の後、SPDCの外部アクセスを即時の安全確保の措置として停止した［7］。SPDCは主に公証人と測量士が使い、所有権移転の証書に添える「modèle 1」の抜粋を作る［7］。一時閉鎖は、所有権移転の証書の提出も不動産取引税（DMTO）の徴収も止めていない［7］。8月に提出された手続きの数は、2025年8月と同程度だった［7］。
経済・財務省は、県の不動産税務部署を通じて抜粋を出す暫定措置を9月21日から運用するとした［7］。SPDCは強化した安全条件の下で、約1か月以内に再開する予定とした［7］。外部アクセスにSMSによる二要素認証を入れる準備を公証人高等評議会と協議して進めており、数週間以内に公証人のアクセスを再開する見込みだと説明した［7］。
議会での質問と答弁
国民議会では8月25日に議員が公会計担当相へ書面質問を出し、政府が10月27日に答弁した［10］。政府は答弁で、ANSSIと対サイバー犯罪局（OFAC）が対応に加わり、CNILへの通知は規則の期限内に行ったと説明した［10］。
政府は答弁で、対策として職員のPIGPの遮断を挙げ、職員は自宅からは業務用PCとVPNでだけ接続するとした［10］。職員は、安全なUSBキーとパスワードを持つ必要がある［10］。アプリケーションの異常な閲覧量を検知して利用者アカウントを自動で遮断する仕組みも設ける［10］。このほか、提携先の認証の強化、検知の強化、バグバウンティの拡大を挙げた［10］。
Public Sénatは、上院財政委員会の委員長と総括報告者が、9月1日にDGFiP総局長の聴聞を行い、9月4日に書面の報告を委員に送ったと報じた［13］。総局長が聴聞で、対象の職員のパスワードはおそらく私物の機器にあった悪意あるソフトウェアで盗まれたと述べたことも報じた［13］。
刑事事件としての捜査
The Recordの9月8日の記事によると、パリ検察は、ZeroBytesの一員としてDGFiPへの攻撃に関わった疑いのある18歳の容疑者の逮捕と勾留を確認した［12］。容疑者は8月18日にパリ地域で逮捕され、2日後に勾留された［12］。別の16歳未満の容疑者も8月26日に逮捕され、捜査員が端末を調べるあいだ釈放されたと報じた［12］。
未公表の事項
- PSVの技術的な脆弱性の種別
- 経済・財務省が8月14日に示した678,000と、FAQ・政府の答弁の人数との関係
- SPDCの外部アクセスの再開日
- 窃取されたデータの不正利用などの二次被害の有無
- CNILによる調査の実施と結果
注
出典
当事者
- ［1］Direction générale des Finances publiques『Vol de données suite à des accès illégitimes au système d'information de la DGFiP』（2026年8月14日公開、2026年9月14日更新）
- ［2］Direction générale des Finances publiques『Foire aux questions (FAQ) pour les particuliers — Vol de données suite à des accès illégitimes au système d'information de la DGFiP』（2026年8月24日公開、PDF）
- ［3］Direction générale des Finances publiques『Foire aux questions (FAQ) pour les professionnels — Vol de données suite à des accès illégitimes au système d'information de la DGFiP』（2026年8月24日公開、PDF）
- ［4］Direction générale des Finances publiques『Foire aux questions (FAQ) — Accès frauduleux sur le portail des successions vacantes (PSV)』（2026年8月24日公開、PDF、2026年10月1日更新）
- ［5］Ministères économiques et financiers『Communiqué de presse N°953 : Accès illégitimes au système d'information de la Direction générale des Finances publiques』（2026年8月14日公開）
- ［6］Ministères économiques et financiers『Invitation presse N°954 : Conférence de presse sur le suivi de la réponse à la cyberattaque visant la direction générale des Finances publiques, mardi 18 août 2026』（2026年8月18日公開）
- ［7］Ministères économiques et financiers『Communiqué de presse N°1042 : Droits de mutation à titre onéreux : leur versement aux départements n'est pas interrompu par la fermeture temporaire du serveur professionnel des données cadastrales』（2026年9月18日公開）
公的機関
- ［8］Commission nationale de l'informatique et des libertés『Piratage du système d'information des impôts : les vérifications sont en cours』（2026年8月18日公開）
- ［9］Agence nationale de la sécurité des systèmes d'information『Rapport d'incident – Septembre 2026 : Actes malveillants observés sur le système d'information de la Direction générale des Finances publiques entre mai 2026 et août 2026』（2026年9月23日公開、PDF）
- ［10］Assemblée nationale『Question écrite n° 17797 : Fuite de données de la DGFIP』（2026年8月25日公開、2026年10月27日更新）
報道機関
- ［11］Recorded Future News『France investigates tax authority breach after hacker claims 600,000 victims』（2026年8月14日公開）
- ［12］Recorded Future News『French prosecutors confirm arrest of suspected ZeroBytes hacker behind tax cyberattack』（2026年9月8日公開）
- ［13］Public Sénat『Piratage du portail des impôts : un contrôle du Sénat relève des « fragilités structurelles » dans le système』（2026年9月7日公開）
更新記録
- 2026年8月23日：公開した。
- 2026年8月24日：DGFiPの個人向け・事業者向け・PSVのFAQ（出典2、3、4）を加え、データの項目と通知を「影響範囲」「対応と現状」に、PSVの件を「経緯」に加えた。
- 2026年8月25日：国民議会の書面質問（出典10）を「対応と現状」に加えた。
- 2026年9月7日：Public Sénatの記事（出典13）を加え、上院財政委員会の聴聞と報告を「対応と現状」に、地籍データの世帯数を「注」に加えた。
- 2026年9月8日：The Recordの9月8日の記事（出典12）を加え、容疑者の逮捕を「対応と現状」に加えた。
- 2026年9月14日：DGFiPの案内ページの9月14日の更新（出典1）に合わせ、出典1の題とURLを改めた。
- 2026年9月18日：経済・財務省の9月18日の発表（出典7）を加え、SPDCの外部アクセスの停止と暫定措置を「時系列」と「対応と現状」に加えた。
- 2026年9月23日：ANSSIの報告書（出典9）を加え、持ち出しの経路と時刻を「経緯」と「時系列」に、攻撃者の主張の件数を「影響範囲」に、封じ込めの措置の影響を「対応と現状」に加えた。
- 2026年10月1日：DGFiPのPSVのFAQの10月1日の更新（出典4）から、公開のサービスの再開を「時系列」に加えた。
- 2026年10月27日：国民議会の書面質問への政府答弁（出典10の10月27日の更新）から、3件の事故と人数をリードと「影響範囲」に、地籍データの経路と項目を「経緯」と「影響範囲」に、対策を「対応と現状」に加えた。