CyberSecurityAction

大量情報流出 / サイバー攻撃トレンド

フランス税務当局で不正アクセス　ハッカーが60万人被害を主張、なりすましによる侵入か

フランスの財務省傘下・公共財政総局（DGFiP）がサイバー攻撃を受け、当局が調査を開始。ハッカー側は60万人分の個人情報へのアクセスを主張しており、政府機関を狙った「なりすまし（アイデンティティ窃取）」手口の深刻さが改めて浮き彫りになっています。

喜村 圭佑（編集責任者）更新 約6分

SHARE

XB!in
フランス税務当局で不正アクセス　ハッカーが60万人被害を主張、なりすましによる侵入か

THREAT GAUGE算出基準

IMPACT（影響範囲）8.5
URGENCY（対応緊急度）7.5
EXPLOIT（悪用の容易さ）7.0

“政府税務データへの侵入は市民の個人・金融情報に直結し波及範囲が広大”

01 · Overview

ニュースの概要

フランス当局は、国の税務・公共財政を管轄する公共財政総局（DGFiP）のシステムに対し、6月下旬に不正アクセスが発生したことを認めました。侵入の手口は、何者かの認証情報を盗用・悪用する「なりすまし（アイデンティティ窃取）」とみられており、フランス当局が現在調査を進めています。

ハッカー側は自らのフォーラム等で「60万人分の個人情報にアクセスした」と主張していますが、この数字を当局が公式に確認したわけではありません。ただし、税務機関が保有するデータには氏名・住所・納税情報・銀行口座情報など、フィッシング詐欺や金融犯罪に悪用されうる非常に機微な情報が大量に含まれており、被害規模の確認が急務となっています。

今回の侵入に用いられたとされる手口は「なりすまし」、すなわち内部関係者や委託業者などの正規の認証情報（IDとパスワードなど）を何らかの方法で入手・悪用するものです。高い権限を持つアカウントが狙われた場合、通常の侵入検知システムでは発見が困難で、攻撃者が長期間にわたって潜伏できるリスクがあります。

政府機関を標的とした認証情報の窃取・悪用は、世界的に増加傾向にある攻撃手法です。日本においても国税庁やマイナンバー関連システムなど、市民の重要情報を扱う機関が同様の脅威にさらされており、今回のフランスの事例は対岸の火事ではありません。組織全体で多要素認証（MFA）の導入や特権アカウントの管理強化を図ることが急務です。

日本の自治体や政府機関においては、委託先・外部業者も含めたサプライチェーン全体での認証管理が課題となっています。一つのアカウントが侵害されるだけで大規模なデータ漏えいにつながる可能性があることを、今回の事案は示しています。

被害申告者数
ハッカーが60万人と主張（当局未確認）
侵入時期
2026年6月下旬
攻撃手口
認証情報の窃取・なりすまし
対象機関
フランス公共財政総局（DGFiP）
当局の対応
フランス当局が正式調査を開始

情報源: The Record by Recorded Future（2026年8月14日付報道）。被害者数はハッカー側の主張であり、当局による公式確認はありません。

02 · Analysis

詳細な原因解説

今回の侵入の直接的な原因として報告されているのは、何者かの「アイデンティティ（認証情報）」の窃取・悪用です。これは、攻撃者が内部職員や業務委託先スタッフなどになりすまし、正規のID・パスワードを使ってシステムに侵入したことを意味します。こうした手口はフィッシングメール、マルウェアによるパスワード盗取、あるいはダークウェブで購入した流出済み認証情報の悪用などにより実現されることが多く、技術的な脆弱性を突かなくても突破できる点が厄介です。

政府機関や公共サービス組織では、職員数が多く、アカウントの棚卸しや退職者・異動者のアクセス権剥奪が後手に回りやすい傾向があります。また、業務委託や外部連携が多い場合、第三者のアカウントが狙われてシステムへの「裏口」として利用されるリスクも高まります。DGFiPのような大規模な政府機関では、こうした複雑なアクセス管理が攻撃者に悪用される隙を生みやすいと言えます。

さらに、多要素認証（MFA）が未導入または一部のシステムにしか適用されていない場合、認証情報が漏えいした時点で攻撃者のシステム侵入を実質的に防ぐ手段がなくなってしまいます。今回の事案の詳細は調査中ですが、MFAの不備や特権アカウントの管理不足が侵入を許した背景として疑われます。日本の公共機関においても、同様のリスク評価と対策の見直しが強く求められます。

03 · Action

今からできる主な対策

明日からすぐ

1週間以内

05 · Forecast

今後起こりうる展開と対策

S（代替）：なりすましを"正規ユーザー"と区別する仕組みに置き換える

パスワード単体の認証を、より強固な仕組みに置き換えるとしたら何が最も効果的か？

パスワード単体による認証は、認証情報が盗まれた瞬間に無力化されます。これをパスキー（Passkey）や生体認証ベースのFIDO2認証に置き換えることで、「知識情報（パスワード）」の窃取だけでは侵入できない構造にできます。政府機関・自治体でも段階的な移行を検討すべきタイミングです。

C（組み合わせ）：振る舞い検知とゼロトラストを組み合わせる

認証成功後の不審な行動をリアルタイムで検知するには何を組み合わせるべきか？

正規の認証情報でログインされると、従来型の防御は突破されます。UEBA（ユーザー行動分析）とゼロトラストアーキテクチャを組み合わせることで、「正規ログイン後の異常な操作（大量データ参照・深夜アクセスなど）」を検知して自動的にセッションを遮断する仕組みが構築できます。

E（拡大）：特権アカウント監視の対象範囲を委託先まで拡大

特権アカウントの監視・管理を、自組織内だけでなくどこまで広げるべきか？

今回のように外部からの認証情報悪用が疑われる場合、自組織内の監視だけでは不十分です。PAM（特権アクセス管理）ツールの監視対象を外部委託先・サードパーティベンダーのアカウントまで拡大し、セッション録画やリアルタイム承認フローを導入することで、第三者経由の侵入リスクを大幅に低減できます。

フィードバックループ：認証情報漏えいが次の攻撃を生む悪循環

一度漏えいした認証情報がどのようにして次のサイバー攻撃を引き起こすか？

漏えいした認証情報はダークウェブで売買され、クレデンシャルスタッフィング（他サービスへの使い回し攻撃）に利用されます。これにより被害が新たなアカウント侵害を生み出す「悪循環のフィードバックループ」が形成されます。このループを断ち切るには、漏えい検知後の即時パスワードリセットとMFA強制適用が不可欠です。

システム遅延：大組織ほど対応が遅れる構造的問題

政府機関のような大規模組織において、インシデント検知から対応完了までに遅延が生じる構造的な理由は何か？

大規模な政府機関では、部署間の連絡・承認フローが複雑で、インシデント検知から対応完了まで数日〜数週間かかることがあります。この「システム遅延」の間、攻撃者はデータを抜き取り続けます。対策としては、インシデント対応の権限を持つ専任チーム（CSIRT）の設置と、事前に定めた対応プレイブックの整備が重要です。

創発特性：個々のセキュリティ対策の「穴」が複合して生まれる致命的リスク

個別のセキュリティ対策が存在していても、なぜシステム全体として重大な脆弱性が生まれるのか？

MFAを一部システムにしか導入していない、アクセスログは取得しているが分析していない、外部委託先は管理対象外―これらの「部分的な対策」が組み合わさると、全体として「認証情報一つで深部まで侵入できる」という創発的リスクが生まれます。セキュリティは最も弱いリンクで決まるため、全体を俯瞰した「セキュリティアーキテクチャレビュー」の定期実施が必要です。

今日からできる「なりすまし攻撃」対策の実践ステップ

まず全組織で多要素認証（MFA）を必須化し、特に管理者権限を持つアカウントはSMS認証ではなく認証アプリや物理セキュリティキーを使う設定に切り替えてください。パスワードだけでは認証情報が漏れた瞬間に突破されます。

次に「最小権限の原則」を徹底し、全アカウントのアクセス権を棚卸しします。外部委託先のアカウントも対象に含め、業務に不要な権限は即時削除。退職・契約終了者のアカウントは当日中に無効化する運用ルールを設けてください。

さらに、自組織のドメインに紐づくアカウント情報がすでにダークウェブ上に流出していないか定期的に確認する仕組みを整えましょう。無料ツールや商用サービスを活用し、漏えいを早期発見することが被害拡大防止の第一歩です。

06 · AI Prompt

AI対策プロンプト

あなたは政府機関・自治体のサイバーセキュリティ担当者です。 以下の条件を参考に、[組織名]のセキュリティ対策状況を評価し、「認証情報の窃取・なりすまし攻撃」に対する具体的な改善計画を提案してください。 【組織情報】 - 組織名: [組織名] - 職員数・規模: [組織規模] - 現在のMFA導入状況: [MFA状況] - 外部委託先の数・種類: [委託先状況] - 直近のセキュリティ訓練実施状況: [訓練状況] 【出力形式】 1. 現状のリスク評価（高・中・低で評価し理由を述べる） 2. 優先度の高い改善アクション（3〜5項目、具体的な手順付き） 3. 6か月以内の対策ロードマップ フランス公共財政総局（DGFiP）の事例を参考に、同様の侵入手口に対してどれだけ耐性があるかも評価してください。

プロンプトのカスタマイズ

以下を入力すると、上のプロンプトに反映されます。

評価対象となる政府機関・自治体・企業の名称

職員数や部署数など組織の規模感

多要素認証の現在の導入・適用状況

外部委託先やベンダーの数と種類

直近のセキュリティ訓練やフィッシング訓練の実施状況

キーワード

  • フランス税務局
  • なりすまし攻撃
  • 認証情報窃取
  • 政府機関サイバー攻撃
  • 個人情報漏えい

SOURCES · 参考情報源