フランス、税務当局DGFiPへの不正アクセスでZeroBytesメンバー疑いの18歳を拘束・勾留　67万8,000の個人・事業者に影響

フランスで、税務当局Direction générale des Finances publiques（DGFiP）への不正アクセスをめぐる捜査が進展しました。

パリ検察が2026年9月4日に複数メディアへ説明したところによると、ZeroBytesのメンバーで、今夏のDGFiPへのサイバー攻撃に関与した疑いがある18歳の男性が8月18日に拘束され、8月20日に正式な捜査対象となった上で勾留されています。

DGFiPは8月14日の公式発表で、6月から7月に発生した不正アクセスにより、個人・事業者計67万8,000に関する一部情報が実際に閲覧・抽出されたことを確認しています。攻撃ではDGFiP職員とアクセス権限を持つ第三者の認証情報が不正利用されました。

一方、18歳の容疑者がZeroBytesのメンバーであることや、DGFiP攻撃を実行したことは裁判で確定した事実ではありません。捜査は継続しており、パリ検察は他の関係者の特定も進めています。

ZeroBytesメンバー疑いの18歳拘束のサマリー

• 【司法当局説明】18歳の男性が2026年8月18日、パリ近郊で拘束されました。
• 【司法当局説明】男性は8月20日に正式な捜査対象となり、勾留されています。
• 【司法当局説明】男性はZeroBytesのメンバーで、DGFiPへのサイバー攻撃に関与した疑いを持たれています。
• 【確認済み】DGFiPへの不正アクセスは2026年6月から7月に発生しました。
• 【確認済み】DGFiP職員とアクセス権限を持つ第三者の認証情報が不正利用されました。
• 【確認済み】個人・事業者計67万8,000に関する一部データが閲覧・抽出されました。
• 【確認済み】税務上の基準所得、家族係数、源泉徴収率などの税務情報が対象に含まれます。
• 【確認済み】企業では名称やSIREN、不動産では住所・面積などの地籍情報も影響しました。
• 【確認済み】利用者向けFinances publiquesの個人・事業者アカウント自体は侵害されていません。
• 【確認済み】一般利用者のID・パスワードは侵害されていません。
• 【司法当局説明】8月26日には16歳未満の別の容疑者も拘束されましたが、事情聴取後に解放されています。
• 【未確定】18歳の男性のZeroBytes内での役割や、個々の攻撃への具体的関与は捜査中です。

項目	内容
司法当局の公表	2026年9月4日
18歳容疑者の拘束	2026年8月18日
正式捜査対象・勾留	2026年8月20日
疑われる関係	ZeroBytesのメンバー、DGFiP攻撃への関与
捜査	パリ検察サイバー犯罪部門、Office anti-cybercriminalité（OFAC）
DGFiP攻撃時期	2026年6月～7月
初期アクセス	DGFiP職員と権限を持つ第三者の認証情報を不正利用
影響対象	個人・事業者計67万8,000
確認された影響	一部データの閲覧・抽出
税務情報	基準所得、家族係数、源泉徴収率など
企業情報	企業名、SIRENなど
地籍情報	不動産の住所・面積などを閲覧
利用者ID・パスワード	侵害なし
税務ポータル利用者領域	侵害なし
CNIL	DGFiPが通知済み
2人目の容疑者	16歳未満、8月26日に拘束後解放
捜査状況	継続中

18歳の男性を8月18日に拘束、20日に勾留

Hackreadは9月4日、フランス警察がZeroBytesのメンバーとみられる18歳の男性を拘束したと報じました。

パリ検察は同日、RTL、AFP、TF1/LCIなどに対し、18歳の男性を8月18日にパリ近郊で拘束し、8月20日に正式な捜査対象とした上で勾留していることを明らかにしています。

フランスの「mise en examen」は捜査判事の下で正式な捜査対象となる手続きであり、有罪判決を意味するものではありません。

パリ検察によると、男性はZeroBytesのメンバーで、DGFiPを狙ったサイバー攻撃の実行者の一人である疑いを持たれています。

捜査はパリ検察のサイバー犯罪部門が7月31日に開始し、Office anti-cybercriminalité（OFAC）へ委ねられました。

本記事執筆時点で、パリ検察のWebサイト上では本件単独の公開プレスリリースを確認できませんでした。そのため、逮捕・勾留などの司法手続きに関する部分は、パリ検察がRTL、AFP、TF1/LCIへ直接説明した内容に基づいています。

DGFiPは67万8,000の個人・事業者のデータ窃取を確認

サイバー攻撃そのものについては、フランス経済・財務省とDGFiPが一次情報を公開しています。

DGFiPは8月14日、6月から7月にかけて情報システムへの不正アクセスが発生したと発表しました。

攻撃者はDGFiP職員と、同システムへのアクセス権限を持つ第三者の認証情報を不正利用しました。

DGFiPは侵入を検知した段階で、インシデントに利用されたアカウントからのアクセスを遮断しました。しかし、その時点の確認ではデータ窃取まで把握できなかったと説明しています。

8月12日以降の詳細調査で、アクセス遮断前に個人・事業者計67万8,000に関する一部データが実際に閲覧・抽出されていたことが判明しました。

これは「漏えいした可能性」ではなく、DGFiPがデータの閲覧・抽出を確認した事案です。

セキュリティ対策Labでは、DGFiPが8月14日に公表した段階から本件を追跡しています。

関連記事：フランスの財政総局へサイバー攻撃、67万8,000件の情報漏洩

基準所得や源泉徴収率、SIRENなどが対象

DGFiPが8月14日に確認した情報には、個人の税務データとして税務上の基準所得、家族係数、源泉徴収率などが含まれています。

事業者については企業名やSIRENなど、不動産については住所や面積などの地籍情報が閲覧されました。

8月21日に更新されたフランス経済・財務省のFAQでは、影響を受けた利用者について、税務識別番号、氏名などの身元情報、住所・電話番号・メールアドレス、家族構成、扶養人数、税務上の基準所得、源泉徴収率などが閲覧された可能性があるとしています。

また、impots.gouv.frのメッセージ機能でDGFiPと交換したメッセージの一覧も対象に含まれる場合があります。

ただし、これらすべての情報が67万8,000の全対象者から一律に抽出されたという意味ではありません。

DGFiPは対象者ごとに、影響した可能性のある情報を個別通知しています。

税務ポータルそのものと利用者パスワードは侵害されず

今回の侵害では、一般利用者の「Finances publiques」アカウント自体は侵害されていません。

DGFiPは、個人・事業者の利用者IDとパスワードも侵害されていないと明記しています。

つまり、攻撃者が67万8,000人分の税務ポータルのパスワードを盗み、そのアカウントへ直接ログインした事案ではありません。

侵害の起点となったのは、DGFiP職員と権限を持つ第三者の認証情報です。

一方、DGFiPは安全対策として、個人利用者が同一ブラウザで6カ月間利用できる二要素認証状態を8月20日に全利用者分リセットしました。

この対応は、利用者パスワードの侵害を確認したという意味ではなく、事案後の予防措置として実施されたものです。

16歳未満の別の容疑者も拘束、その後解放

パリ検察の説明によると、OFACは8月26日、16歳未満の別の容疑者も拘束しました。

この人物は事情聴取後に解放され、捜査当局は押収した機器の解析を進めています。

ここも注意が必要です。

現時点で、この未成年者が「ZeroBytesの2人目のメンバー」であることが司法当局によって確定したわけではありません。

Hackreadも、当局がこの人物をZeroBytesの第2メンバーとして特定したわけではないと指摘しています。

パリ検察は捜査を継続し、他の関係者を特定・拘束する方針を示しています。

ZeroBytesは複数組織への攻撃を主張、帰属は個別に確認が必要

パリ検察はメディアへの説明で、ZeroBytesが7月16日以降、政府機関や企業に対する複数の攻撃を地下フォーラム上で主張していたとしています。

検察が被害組織として挙げたものには、DGFiPのほか、教育関連サービス、France Travail、フランスハンドボール連盟、Intermarché、SFR、Bureau Vallée、Pulsyなどがあります。

ただし、「ZeroBytesが攻撃を主張したこと」と「個々の組織への攻撃をZeroBytesが実行したことが司法的に確定したこと」は同じではありません。

また、HackreadはZeroBytes名義のアカウントが18歳の男性の拘束後も活動していたことを確認しています。

この事実だけで複数人による運営を証明することはできませんが、今回の拘束をもってZeroBytes全体が摘発・解体されたと判断することもできません。

税務情報を使った精度の高いフィッシングに注意

DGFiPは今回のデータ窃取による主な二次被害として、フィッシング、詐欺電話、なりすましを挙げています。

税務上の基準所得、家族構成、住所、電話番号などが攻撃者に知られていた場合、通常の大量送信型フィッシングよりも具体性の高いメッセージを作成できます。

たとえば税務当局、金融機関、会計事務所などを装い、実際の税務情報を一部提示して信用させるソーシャルエンジニアリングが想定されます。

DGFiPは、同庁がメール、SMS、電話でパスワードや銀行情報などの機密情報を求めることはないと案内しています。

また、税務ポータルへアクセスする際はメールやSMS内のリンクを使わず、利用者自身がimpots.gouv.frまたは公式アプリから直接アクセスするよう求めています。

現時点で、今回窃取された情報を利用した具体的な二次被害がどの程度発生しているかは、DGFiPの一次情報からは確認できません。

情報システム・行政機関への示唆

今回の事案は、一般利用者のパスワードが侵害されなくても、職員や委託先・権限を持つ第三者の認証情報が侵害されれば、大量の個人情報へ到達できることを示しています。

情報システム部門では、一般利用者向け認証の強化だけでなく、職員、管理者、委託先、外部保守事業者などの高権限アカウントを重点的に管理する必要があります。

特に確認すべきなのは、長期間利用されている認証情報、外部事業者に付与したアクセス権限、多要素認証の適用範囲、アクセス元制限、異常なデータ照会・抽出の検知、セッションの強制失効、委託契約終了後のアカウント無効化などです。

今回DGFiPは、不正アクセス自体を検知してアカウントを遮断したものの、当初の確認ではデータ窃取まで把握できませんでした。

この点は、侵害検知後のフォレンジックで「アクセスを止めたか」だけでなく、「侵害中に何が閲覧・抽出されたか」を遡って確認する重要性を示しています。

また、今回のように個人情報の種類が多い場合、対象者への通知では「漏えいした可能性がある」と一括りにするのではなく、対象者ごとに影響情報をできるだけ具体的に示すことが二次被害防止につながります。

今後の確認ポイントは、18歳の容疑者と個々の攻撃との関係、他の関係者の特定、ZeroBytesとして主張された他組織への攻撃との関連、DGFiPで認証情報が侵害された具体的経緯、最終的なデータ影響範囲です。

出典

• Accès illégitimes au système d’information de la Direction générale des Finances publiques – Ministère de l’Économie et des Finances / DGFiP
• Accès illégitimes au système d’information de la Direction générale des Finances publiques : consulter la FAQ – Ministère de l’Économie et des Finances
• Piratage des impôts : un membre présumé du groupe de hackers “ZeroBytes” mis en examen et écroué – RTL
• Piratage du fisc : un homme de 18 ans mis en examen et placé en détention provisoire – TF1 Info
• French Police Arrest Suspected ZeroBytes Hacker Over Tax Data Theft – Hackread
• フランスの財政総局へサイバー攻撃、67万8,000件の情報漏洩 – セキュリティ対策Lab