フランスの公共職業安定所で、提携機関の相談員になりすました攻撃者により、求職者の個人データが漏洩

何が起きたか

この事故で流出した、または流出したおそれがある情報は、氏名、生年月日、社会保障番号、同所の利用者ID、メールアドレス、住所、電話番号。最大約4300万人分。パスワードと銀行口座情報は含まれないと公表されたです。その後の対応と影響は、公表と同じ日にCNILへ届け出て刑事告訴した。提携機関からのアクセス保護を強めた。CNILは2026年1月22日付で500万ユーロの制裁金と是正命令（遅れた場合は1日5000ユーロ）を決定したです。

原因になったのは「提携機関の相談員アカウントの乗っ取り」です。公表された内容では、生成AIは事故に関わっていません。

なぜ起きたか

CNILによると、提携機関の相談員の認証が十分に強くなく、相談員は自分が担当していない求職者のデータまで見られる設定だった。ログの管理も不審な操作を追える水準になかった。CNILは、必要な対策の多くが同所の影響評価ですでに挙がっていたのに実施されていなかった点を重く見た。

原因の種類は「認証情報の漏れ」です。IDやパスワードが漏れ、なりすましで入られた事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は28件あります。

事故が起きてから公表されるまで

1. 2024年2月6日、攻撃者が提携機関の相談員アカウントで接続を始めた
2. 2024年3月5日まで、求職者のデータの抜き出しが続いた
3. 2024年3月13日、同所が公表し、CNILへの届け出と刑事告訴を行った
4. 2026年1月22日、CNILが500万ユーロの制裁金と是正命令を決めた

どうすれば防げたか

上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。

止められた可能性がある所（当社の見立て）

外部の提携先に渡すアカウントに多要素認証を必須にし、見られるデータを担当する利用者の分だけに絞っていれば、乗っ取られた時に持ち出される範囲を小さくできた可能性がある。

この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。

自社で確認する3つの手順

上から順に、短い時間で確認できるものを並べています。

1. 提携先・委託先に発行しているアカウントを一覧にし、多要素認証の有無を確かめる
2. 各アカウントが見られるデータの範囲を、担当業務に必要な分と照らし合わせる
3. 大量の閲覧や深夜の接続を検知できるよう、アクセスログの保存と確認の手順を決める

自社に同じ原因があるか

当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。

出典と更新の履歴

• France Travail et Cap emploi victimes d'une cyberattaque（France Travail 報道発表PDF）2024.03.13
• France Travail のサイバー攻撃と4300万人分の流出（IT-Connect）2024.03.14
• France fines unemployment agency €5 million over data breach（BleepingComputer）2026.01.29
• CNILによる500万ユーロの制裁金（IT-Connect）2026.01.30