フランスの税務当局で、職員などのログイン情報が不正に使われ、約67万8000の納税者の所得情報が漏洩

何が起きたか

この事故で流出した、または流出したおそれがある情報は、個人：課税の基準となる所得額、家族の人数に応じた係数、源泉徴収の税率。事業者：社名と事業者番号（SIREN）。不動産の所在地と面積の登記情報も含まれる。約67万8000の個人と事業者。納税者のオンラインのアカウントとパスワードは含まれないと説明したです。その後の対応と影響は、税務当局はCNILに報告し、重要なシステムへの接続を制限した。8月17日から対象者への連絡を始めた。パリ検察が不正なデータ抽出などの疑いで捜査を始めた。首相府は国のデジタル庁の新設を発表したです。

原因になったのは「職員と権限を持つ外部の者のログイン情報の不正利用」です。公表された内容では、生成AIは事故に関わっていません。

なぜ起きたか

財務省は、6月と7月の侵入は職員と権限を持つ外部の者のログイン情報の不正利用によるものだと説明した。税務当局は、それまでの点検ではこの侵入がデータの持ち出しにつながったことを見つけられなかったと認めた。ログイン情報がどう盗まれたかは公表されていない。

原因の種類は「認証情報の漏れ」です。IDやパスワードが漏れ、なりすましで入られた事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は28件あります。

事故が起きてから公表されるまで

1. 2026年6〜7月職員などのログイン情報を使った侵入が起きる
2. 2026年8月12日攻撃者がハッキングの掲示板でデータを売りに出す
3. 2026年8月14日税務当局のトップが流出を認めて謝罪する
4. 2026年8月15日パリ検察が捜査を始めたと発表する
5. 2026年8月17日対象者への連絡が始まる

どうすれば防げたか

上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。

止められた可能性がある所（当社の見立て）

職員と外部の者のログインに多要素認証を求め、1つのアカウントによる普段より多い照会を検知していれば、持ち出しに早く気づけた可能性がある。

この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。

自社で確認する3つの手順

上から順に、短い時間で確認できるものを並べています。

1. 顧客や納税者のデータを照会できる職員・外部の者のアカウントを一覧にする
2. 各アカウントに多要素認証を設定し、外部の者のアカウントには期限を付ける
3. アカウントごとの照会件数を見て、普段より多い照会を知らせる設定を作る

自社に同じ原因があるか

当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。

出典と更新の履歴

• France : le fisc piraté, les contribuables concernés seront informés à compter de lundi（Euronews）2026.08.16
• French tax authority data breach affects 678,000 individuals（BleepingComputer）2026.08.17