仏税務データ67.8万件流出
税務職員と認可済み第三者になりすました攻撃者が6月から7月にかけて67万8000人・事業者の税務、企業、地籍情報を閲覧・抽出した一方、個人向け税務ポータルと認証情報は侵害されていない。
✓ 検証済み
出典
French Ministry of Economy and Finance official release and Reuters independent reporting
⚑ サイバーセキュリティ
60秒でわかる
専門職になりすましたアクセスにより、6月から7月に67万8000人・事業者の税務、企業、地籍情報の一部が流出した。
要点
- 対象項目は基準課税所得、家族係数、源泉徴収率、企業名、SIREN番号、物件の住所と面積である。
- 個人税務ポータル、ユーザー名、パスワードは侵害されていない。
- CNILへの通知と対象者への連絡が進み、最終範囲は調査中である。
- 流出情報が今後のフィッシングやなりすましを本物らしく見せるおそれがある。
結論. 確認されたのは業務用アクセス経由の機密データ侵害であり、オンラインアカウント乗っ取りではない。
フランス税務当局は、6月から7月の不正な業務用アクセスにより、67万8000人・事業者のデータが閲覧または抽出されたと発表した。個人向け税務ポータルと認証情報は侵害されていない。
確認範囲調査で判明したこと
攻撃者はDGFiP職員と認可済み第三者になりすまし、6月から7月に公共財政総局の情報システムへアクセスした。
67.8万データを閲覧または抽出された個人と事業者
2カ月6月と7月の不正アクセス期間
0侵害が報告された個人ポータルの認証情報
対象データ機密性は高いが範囲は限定
| 個人の税務情報 | 基準課税所得、家族係数、源泉徴収率。 |
|---|---|
| 事業者情報 | 企業名とSIREN登録番号。 |
| 地籍情報 | 物件の住所と面積。 |
| 侵害の報告なし | 個人向け税務ポータル、ユーザー名、パスワード。 |
税務、企業、物件情報を組み合わせれば、なりすましや詐欺の連絡を本物らしく見せることができる。
管理上の問題業務上のなりすましが生むリスク
職員や認可済みパートナーに見える相手へ広い権限を与える仕組みには、最小権限、異常検索の検知、迅速な停止、追跡可能な監査記録が必要である。
個人ログインの安全だけでは、業務用経路の安全は保証されない。
対応状況通知開始後も調査は継続
DGFiPはCNILへ通知し、対象者への連絡を進めている。範囲は引き続き調査中である。
実務上の対応対象者が注意すべき点
- 公式税務サイトまたは既知のDGFiP窓口で通知を確認する。
- 正確な税務情報を示す電話やメールであっても警戒する。
- 公式経路からアカウント活動を確認し、不審な接触を報告する。
- 調査後の案内に備えて正式通知を保管する。
確認済みの証拠が示すのは信頼されたアクセスの悪用によるデータ侵害であり、オンラインアカウントの一斉乗っ取りではない。