2026年4月15日、フランスの国家安全書類機関（ANTS）が大規模なデータ侵害の被害を受けました。内務省の公式発表によれば、約1,170万件のアカウントが影響を受けたとされています。しかし、「breach3d」と名乗るハッカーがサイバー犯罪フォーラムでデータベースを売りに出しており、実際の件数は1,800万〜1,900万件に達する可能性があると主張しています。これは、オンラインで行政手続き（パスポート、身分証明書、運転免許証）を行ったフランス市民数百万人に直接影響を与える前例のないサイバー攻撃です。

何が起きたのか？

ANTSはフランスにおける安全書類申請のための公式プラットフォームants.gouv.frを管理しています。毎年、数百万人の市民が身分証明書、パスポート、運転免許証の申請状況を確認するためにアカウントを作成しています。

今回悪用された脆弱性はIDOR（安全でない直接オブジェクト参照）型と呼ばれる、特に潜伏性の高い欠陥です。悪意のある行為者がAPIへのリクエストで数字の識別子を変更するだけで、認可チェックなしに他のユーザーのデータにアクセスできる状態でした。つまり、URLの数字を1つ変えるだけで、数百万人の個人情報を閲覧できたのです。

このタイプの脆弱性はセキュリティ専門家にはよく知られていますが、残念ながら公共情報システムではいまだに多く見られます。CNIL（フランスデータ保護機関）には即座に通知が行われ、パリ検察庁への報告書も提出されました。捜査はサイバー犯罪対策局（OFAC）に委ねられています。

どのデータが盗まれたか？

流出した情報は、民事身分データと個人連絡先情報を組み合わせた特に機密性の高いものです：

• 氏名
• 生年月日
• 住所
• メールアドレス
• 電話番号

これらの情報だけで、高度に標的を絞った詐欺を構築するには十分です。組み合わせると、なりすまし犯罪、超精密なフィッシング攻撃（行政機関を装った偽SMS・偽メール）、さらには不正な銀行口座開設やオンラインクレジット申請の試みにも使われる可能性があります。

自分は影響を受けているか？

身分証明書、パスポート、運転免許証の申請のためにants.gouv.frでアカウントを作成したことがある方は、被害を受けた可能性が非常に高いです。ANTSはアカウントが侵害されたと特定されたユーザーに対して直接通知を送ると発表しています。

また、Have I Been Pwned（haveibeenpwned.com）などの専門プラットフォームで、ご自身のメールアドレスが既知の流出データベースに含まれているか確認することもできます。

今すぐ取るべき行動

この流出事態を受けて、今すぐ実施すべき具体的な対策を以下に示します：

1. ANTSのパスワードを変更する

ants.gouv.frにアクセスしてパスワードを変更してください。同じパスワードを他のサイトでも使用している場合（非推奨）、すべて変更してください。可能な限りすべてのサービスで二段階認証（2FA）を有効にしてください。

2. 受信するメッセージに細心の注意を払う

今後数週間は、ANTS、税務署、銀行、または電話会社を名乗るあらゆるメール、SMS、電話に注意してください。ハッカーはこのデータをフィッシング詐欺師に売りつけます。氏名、住所、電話番号を含む精巧なメッセージは非常に公式に見える場合があります。

鉄則：いかなる公式機関も、SMSやメールでパスワード、銀行情報、または送金を求めることは絶対にありません。

3. デジタル身元を監視する

Cybermalveillance.gouv.frなどのサービスがサイバー攻撃被害者向けの無料リソースを提供しています。身元の不正使用試行があった場合のアラートサービスも存在します。

4. 詐欺の試みを報告する

不審なメッセージを受け取った場合、またはこのハッキングに関連した詐欺被害を受けたと思われる場合は、cybermalveillance.gouv.frまたはthesee.interieur.gouv.fr（オンライン詐欺の公式通報プラットフォーム）から警察に直接報告してください。

このサイバー攻撃から何を学ぶか？

この大規模な流出は不快な現実を改めて示しています：政府のプラットフォームでさえサイバー攻撃から免れることはできません。悪用されたIDOR脆弱性は、OWASP Top 10などのセキュリティ標準において何年も前から文書化されています。それが数百万人の市民の身分証明書を管理するサービスに存在していたという事実は、事前のセキュリティ監査について深刻な疑問を提起しています。

これはまた、すべての市民がデジタル衛生習慣を確立する必要性を示しています：ユニークで複雑なパスワード、二段階認証、迷惑メッセージへの警戒。データがサーバーからサーバーへと行き交うこの世界では、デジタルな用心深さはもはや選択肢ではなく、必要不可欠なものです。

司法捜査は継続中です。今後数週間で内務省のウェブサイトおよびants.gouv.frにて定期的な更新情報が公開される予定です。