相次ぐフランス税務当局（DGFiP）へのサイバー攻撃

 　

　フランス税務当局（DGFiP）が確認した最初のサイバー攻撃は６月末に発生し、フランスの税務当局の情報システムを標的としていました。

　「ZeroBytes」という名前をつかったハッカーたちは、犯行声明を出したフォーラムで『「ZeroBytes」は、税務職員が使用するVPNにアクセスした！』と声明を出しています。

　この仮想プライベートネットワーク（VPN）は、通常、内部ツールへの安全なリモートアクセスを可能にするものです。経済財務省は、ファイルの閲覧と抽出は個人情報窃盗に関するもの？であると説明しています。

　７月末に行われた２度目の攻撃も「ZeroBytes」が犯行声明を出し、標的は職業地籍データサーバー（SPDC）で、フォーラム上で「多要素認証」、つまりログインに２段階認証を必用とするシステムを突破し、200万人以上のデータを抽出したとたと主張しています。

　また、その後、データ漏洩事例を掲載しているフォーラムに最初の投稿が公開され、「本日、impots.gouv.frウェブサイトをハッキングし、そのデータベースの一部を販売することを発表します」と明言。翌日、同じアカウントがSPDC（フランス公共サービスデータセンター）から盗んだとされるデータの販売広告を掲載しました。

　impots.gouv.frといえば、私たちが税金申告のときに使うサイトです。しかも、いちいち、犯行の次第を発表し、ぬけぬけと公に盗んだデータの販売広告を行うとは、なんとも人を食ったというか、バカにしたようなやり口です。

　さらに彼らは、購入者を惹きつけるために盗んだデータのサンプルを公開しました。

　このサンプルによる情報によれば、納税者番号、税額、基準所得といった税務関連情報が含まれていました。また、これらのデータには、住所、電話番号、メールアドレス、ファイルに記載されている個人の家族構成などの個人情報も付加されていました。また、ハッカー集団が入手したと主張する地籍データにはその土地の区画とその住所が所有者と紐づけられていました。

　このサイバー攻撃に関して、税務当局は、６月の時点では、攻撃者がデータを取得できたことを確認できていなかったと説明しています。

　しかし、Solidaires Finances Publiques（労働組合）は、６月の時点ですでにハッキング、個人情報窃盗、標的型フィッシングのリスクについて警告していたと主張し、当局の遅すぎる情報提供を非難しています。

　財務省は、これまでにこの件に関して、３度目の情報漏洩があったことを公表していますが、ハッキングされたアカウントは、当初発表していた20万件から180万件へと増加しています。

　ちなみに３回目のハッキングは相続人がいない遺産に関する公開ツールへの不正アクセスなのだそうです。

　フランス公共財政総局（DGFiP）は、今回のハッキングにより、個人のデータが侵害されたどうかを判断するため、「関係する個人および専門家一人ひとりに直接連絡をとり、自身に関するデータ内容と必用に応じて取るべき予防措置について通知する」と発表しています。

　ちなみに私のところには、今のところ連絡はありません。

　このハッカー集団はAFP通信に対し、２人組であると発表しています。彼らがメッセージに返信する言語はフランス語で、犯罪人引渡しがない場所にいると述べているそうです。

　これが本当だとすると、たった２人。わざわざ、自分たちのハッキング行為を公表しているところは、どこか挑戦的な感じさえします。しかし、税務当局も段階的に犯行声明を出されているというのに、次から次へと、まんまとやられっぱなしで、情けない感じも拭えません。

フランス税務当局（DGFiP）サイバー攻撃　

＜関連記事＞

「国家安全文書庁（ANTS）がサイバー攻撃のため、1,900万人の個人情報漏洩」　

「パリオリンピックのセキュリティ情報が盗まれた　セキュリティ情報のセキュリティ」　

「また、新たな電話詐欺！　無言電話でも、決して声を発してはいけない！」　

「昨年、フランスで最も盗まれた車はトヨタだった！」　

「冷凍食品メーカー PICARD（ピカール）顧客情報漏洩問題」