リヒテンシュタインとフランスの政府データベースへのサイバー攻撃——集中管理が招く新たなリスク

2026年6月末、何者かがフランスの**DGFiP（Direction Générale des Finances Publiques＝国税総局）**の情報システムに不正アクセスした。その手口は「なりすまし（identity impersonation）」——盗んだ身分情報を使って内部VPNと納税者検索ツールにアクセスするというものだった。フランス経済省がこの事実を公表したのは、同年8月13日である。

攻撃者は678,438件の税務データ行を奪取したと主張しており、影響は約393,000人の個人と286,000の事業者・プロフェッショナルに及ぶ。流出した情報には、氏名、住所、生年月日、家族状況、税務識別番号、申告所得、税率が含まれる。盗まれたファイルは現在、数千ユーロでオンライン販売に出されているという。

フランス政府は「不正アクセス」を認め、データが閲覧・抽出されたことを確認した。予備調査では、アクセスは6月末に検知され遮断されたが、その時点ですでにデータはコピーされていた。この事件は、2026年中にフランスで発生した2度目の税務データ流出である。

両事件が明らかにする政府データの脆弱性

集中管理が生む「単一障害点」

リヒテンシュタイン（実質的受益者台帳）もフランス（納税者データベース）も、機密性の高い金融情報を単一の政府台帳に集約していた。これは攻撃者にとって極めて魅力的な標的となる。1回の侵害で、数千の組織や個人に関する諜報価値の高いデータ——あるいは身代金目的のデータ——を入手できるからだ。

正規経路を悪用する「なりすまし」の増加

フランスの攻撃は、複雑なマルウェアではなく、なりすまし（盗んだ身分情報）を用いたVPNアクセスによって成功した。これは、伝統的な境界防御では感知しにくいソーシャルエンジニアリングの手法である。攻撃者は技術的な壁を突破するよりも、正規のアクセス経路を悪用する方向へとシフトしている。

検知から公表までの大きなタイムラグ

フランスへの侵入は6月末に発生したが、公表は8月中旬——実に6週間以上の空白である。リヒテンシュタインでは数日以内に検知されたが、1週間後に4つの関連システムが追加停止されたことから、初動の封じ込めでは完全に侵害を止められなかった可能性が浮上している。

透明性台帳がもたらすプライバシーのジレンマ

リヒテンシュタインの台帳は、マネロン対策を目的とした合法的な透明性ツールである。しかし、その本来の目的——実在の個人と法人の所有構造を結びつける——がゆえに、データ漏洩は正当なプライバシー期待を持つ個人を直接的に露出させてしまう。この構造的な葛藤は、国民の完全な財務プロファイルを集約するフランスの税務データベースにも同様に当てはまる。

「小国だから安全」とは限らない

リヒテンシュタインは富裕で高度にデジタル化された金融センターである。それでも、中核となる透明性台帳が比較的容易に侵害された。この事実は、小規模な管轄区域ほど、大規模国家のような常時脅威監視や迅速な対応能力を備えていない可能性を示唆している。そして、金融の秘匿性が高いハブは、国家主体と犯罪組織の双方にとって格好の標的であることを、この攻撃は改めて浮き彫りにした。