フランスの財政総局へサイバー攻撃、67万8,000件の情報漏洩

フランス経済・財務省は2026年8月14日、フランス財政総局（Direction générale des Finances publiques：DGFiP）の情報システムに不正アクセスがあり、個人・事業者計67万8,000に関する一部データが閲覧・抽出されたことを確認したと発表しました。

不正アクセスは2026年6月から7月にかけて発生し、DGFiP職員とアクセス権限を持つ第三者の認証情報を不正利用する形で行われました。税務上の基準所得、家族係数、源泉徴収率、企業の名称・SIREN、不動産の住所・面積などが対象となっています。

一方、個人・事業者向けの「Finances publiques」アカウント自体は侵害されておらず、利用者のIDやパスワードも侵害されていないとしています。影響を受けたデータの正確な種類や量、最終的な対象数については調査が続いています。

DGFiP不正アクセスのサマリー

確認済みの事実

• DGFiPの情報システムへの不正アクセスは2026年6月から7月にかけて発生しました。
• 攻撃では、DGFiP職員とアクセス権限を持つ第三者の認証情報が不正利用されました。
• DGFiPは不正アクセスを検知後、インシデントで使われたすべてのアカウントからのアクセスを遮断しました。
• その後の詳細調査で、個人・事業者計67万8,000に関する一部データが閲覧・抽出されていたことを確認しました。
• 対象には税務上の基準所得、家族係数、源泉徴収率などの税務データが含まれます。
• 事業者については企業名やSIREN、不動産については住所や面積などの地籍情報も閲覧されました。
• 個人・事業者向け「Finances publiques」の利用者領域自体は侵害されていません。
• 個人・事業者のログインIDとパスワードも侵害されていないとDGFiPは説明しています。
• DGFiPはCNILへ通知し、影響を受けた個人・事業者へ個別通知を行う予定です。
• DGFiPは刑事告訴を行う方針で、ANSSIなどと連携して調査とセキュリティ強化を進めています。

現時点で確認できない事項

• 閲覧・抽出されたデータの最終的な種類と総量
• 最終的な影響対象数
• 認証情報が攻撃者に渡った具体的な経緯
• 攻撃者・脅威アクターの正式な特定
• 取得されたデータが第三者へ販売・公開されたかどうか
• 今回の事案と2026年2月に公表されたFICOBA不正アクセスとの関連

項目	内容
公表日	2026年8月14日
発生時期	2026年6月～7月
対象組織	フランス財政総局（DGFiP）
インシデント	DGFiP情報システムへの不正アクセス、データの閲覧・抽出
侵入・アクセス方法	DGFiP職員と権限を持つ第三者の認証情報を不正利用
現時点の対象	個人・事業者計67万8,000
確認されたデータ	税務上の基準所得、家族係数、源泉徴収率、企業名、SIREN、不動産の住所・面積など
利用者ID・パスワード	侵害されていない
税務ポータルの利用者領域	侵害されていない
対応状況	不正アクセスに使われたアカウントのアクセス遮断、追加のアクセス制限、調査、対象者への通知
CNILへの通知	実施済み
捜査機関への対応	DGFiPが刑事告訴を行う方針
攻撃者	公式な帰属は確認できませんでした

6月から7月に不正アクセス、職員と第三者の認証情報を不正利用

フランス経済・財務省によると、2026年8月12日と13日、攻撃者がDGFiPの情報システムに対し、6月から7月に不正アクセスしていたとする犯行主張を行いました。

DGFiPの調査では、実際にDGFiP職員と、同システムへのアクセス権限を持つ第三者の認証情報を不正利用したアクセスが発生していたことが確認されています。

DGFiPは侵入を検知した段階で、特定されたインシデントに利用されたすべてのアカウントからのアクセスを直ちに遮断しました。

ただし、最初のアクセス制御・確認ではデータ窃取まで把握できませんでした。DGFiPは、攻撃が高度だったため、不正アクセスがデータ窃取につながっていたことを当初の確認では検出できなかったと説明しています。

詳細調査で67万8,000の個人・事業者データ窃取を確認

8月12日以降に行われた詳細調査によって、アクセス遮断前に一部の情報が閲覧・抽出されていたことが確認されました。

現時点で確認されている対象は、個人と事業者を合わせて67万8,000です。

DGFiPは単に「アクセス可能だった」としているのではなく、データが実際に「consultées et extraites（閲覧・抽出された）」ことを確認しています。このため、本件については情報へのアクセス可能性にとどまらず、データ窃取が確認されたインシデントとして整理できます。

一方、調査は継続しており、閲覧・抽出されたデータの正確な種類や量、影響を受けた利用者数については今後変わる可能性があります。

税務上の基準所得や源泉徴収率、不動産情報などが対象

フランス経済・財務省が現時点で公表している対象データには、個人の税務情報として以下が含まれています。

• 税務上の基準所得（revenu fiscal de référence）
• 家族係数（quotient familial）
• 源泉徴収率（taux de prélèvement à la source）

事業者に関しては、企業名やフランスの企業識別番号であるSIRENなどが閲覧・抽出されたとしています。

さらに、不動産の住所や面積に関する地籍データも閲覧されていました。

ただし、これらが67万8,000の全対象者について一律に取得されたという意味ではありません。DGFiPは、データの正確な種類と量について現在も調査しています。

税務ポータルの利用者ID・パスワードは侵害されず

DGFiPは、個人・事業者向けの「Finances publiques」の利用者領域は侵害されていないと明記しています。

また、一般の個人や事業者が利用するログインIDとパスワードについても侵害されていません。

今回不正利用されたのは、DGFiP職員と権限を持つ第三者側の認証情報です。このため、一般利用者の税務ポータルのログイン情報が直接流出した事案とは区別する必要があります。

一方で、税務情報や企業情報、不動産情報などが取得されたことから、窃取された情報を使ったなりすましや標的型フィッシングなどの二次被害には注意が必要です。

不正アクセス遮断後もデータ窃取を把握できず

今回の事案で特徴的なのは、DGFiPが不正アクセスを検知してアカウントを遮断していたにもかかわらず、その時点ではデータ窃取を把握できなかった点です。

公式発表によると、インシデントに利用されたアカウントのアクセスは検知後すぐに停止しましたが、その際に実施したアクセス制御では、不正アクセスがデータ窃取につながっていたことを確認できませんでした。

8月12日以降、攻撃者側の主張を受けて詳細な調査を実施した結果、アクセス停止前にデータが閲覧・抽出されていたことが判明しました。

不正アクセスの封じ込めと、過去に何が行われたかを確認するフォレンジック調査は別の工程です。認証情報を失効させたり通信を遮断したりしただけでは、侵害期間中のデータアクセスや持ち出しを把握できない場合があることを示す事案です。

CNILへ通知、67万8,000の対象者には個別連絡へ

DGFiPはデータ窃取を確認した後、フランスのデータ保護当局であるCNILへ通知しました。

さらに、機密性の高い情報システムへのアクセスを予防的に停止するなど、追加のセキュリティ対策も実施しています。

DGFiPは、影響を受けた個人と事業者に対し、8月17日の週から電子メールまたは郵送で直接連絡する方針です。個別通知では、閲覧・抽出された可能性のあるデータと、必要に応じて講じるべき注意事項を案内するとしています。

また、DGFiPは刑事告訴を行う方針を示しており、経済・財務省の防衛・セキュリティ部門やフランス国家サイバーセキュリティ庁（ANSSI）と連携して調査を続けています。

The Recordが報じた「60万人超」より公式確認数は多い

The Recordは8月14日、攻撃者が60万人超の被害を主張しているとして本件を報じました。

その後、フランス経済・財務省の公式発表では、詳細調査によって個人・事業者計67万8,000に関するデータの閲覧・抽出が確認されたとしています。

したがって、記事化にあたっては攻撃者側が主張した「60万人超」ではなく、DGFiPが調査で確認した67万8,000を現時点の対象数として扱うのが適切です。

The Recordは、フランスの情報漏えい追跡サイトFrenchBreachesの情報として、攻撃者が「ZeroBytes」を名乗っているとも報じています。ただし、DGFiPは特定の攻撃者や脅威アクターへの帰属を公表していません。

2月のFICOBA不正アクセスとは別のインシデント

DGFiPでは2026年2月にも、フランス国内の銀行口座情報を収録するFICOBA（Fichier national des comptes bancaires）への不正アクセスを公表しています。

この事案では、1月末以降、政府機関間の情報交換のためにアクセス権を持つ公務員の認証情報が不正利用され、約120万口座に関するRIB・IBAN、口座名義人の氏名、住所などが閲覧・抽出されました。税務識別番号は閲覧されていなかったとされています。

今回の8月公表事案は6月から7月に発生し、税務データや企業情報、不動産情報などが対象となっています。

いずれも認証情報の不正利用が関係していますが、DGFiPは両インシデントが同一の攻撃者や同一の侵入経路によるものだとは発表していません。現時点では別のインシデントとして扱う必要があります。

今後想定される二次被害は標的型フィッシングやなりすまし

今回確認された情報には、税務上の基準所得、家族係数、源泉徴収率、不動産情報などが含まれています。

これらはクレジットカード番号やログインパスワードそのものではありませんが、個人や企業の属性を詳しく把握する材料になり得ます。

今後、フランス税務当局や金融機関を装い、実際の税務情報を交えて信用させるフィッシングメール、偽の税金還付・支払い案内、電話によるなりすましなどに利用される可能性があります。

ただし、DGFiPは今回の流出情報を悪用した二次被害が実際に発生したとは発表していません。これらは現時点で想定されるリスクです。

情報システム部門への示唆

今回の事案は、特権的な権限を持つ内部アカウントだけでなく、外部の「権限を持つ第三者」の認証情報も重要な攻撃対象になることを示しています。

情報システム部門では、職員・従業員だけでなく、委託先、保守事業者、業務連携先などに付与しているアカウントを含め、アクセス権限を定期的に棚卸しする必要があります。特に機微な個人情報や財務情報を扱うシステムでは、多要素認証、接続元制限、時間帯制限、特権アクセス管理などを組み合わせることが重要です。

また、アカウントの不正利用を検知し遮断できたとしても、それ以前に行われたデータ閲覧や大量取得を別途確認する必要があります。認証ログだけでなく、検索履歴、データ照会履歴、ダウンロード量、API利用状況、通常とは異なる大量検索などを監視し、データアクセスの異常を検知できる仕組みが求められます。

インシデント発生時には、認証情報の失効やアクセス遮断と並行して、侵害期間を遡ったログ分析とデータ持ち出しの確認を行うことが重要です。今回DGFiPが当初のアクセス遮断時にはデータ窃取を把握できず、後日の詳細調査で確認した点は、封じ込め後のフォレンジック調査の必要性を示しています。

出典

• Accès illégitimes au système d’information de la Direction générale des Finances publiques – Ministère de l’Économie et des Finances
• Accès illégitimes au fichier national des comptes bancaires (FICOBA) – Ministère de l’Économie et des Finances
• FICOBA : tout savoir à l’accès illégitime au fichier national des comptes bancaires – Ministère de l’Économie et des Finances
• Fuite de données et vol de votre IBAN : comment vous protéger si vous êtes concerné ? – CNIL
• France investigates tax authority breach after hacker claims 600,000 victims – The Record