仏税務当局ハッキング、16歳「Casquette」を起訴

フランスの税務当局(DGFiP)へのサイバー攻撃をめぐり、パリで2人目の容疑者が正式な捜査対象(mise en examen)となった。ネット上で「Casquette」と名乗る16歳の少年で、攻撃当時は15歳だった。少年は司法監督下に置かれている。

少年は、国が運用する個人データ処理システムから、組織的にデータを不正に抜き取った疑いが持たれている。ハッカー集団「ZeroBytes」の一員とみられ、同集団は自らを2人組と称している。この夏、少なくとも67万8000人の納税者のデータを盗んだと主張している。

弁護側は反論

少年の弁護人レダ・ギラシ氏は、容疑を強く争う姿勢だ。依頼人は無罪と推定されるとし、今回の手続きは「特に脆弱」で、数日中に異議を申し立てると述べた。

ZeroBytesの関与が疑われる攻撃

パリ検察は、ZeroBytesが雇用支援機関France Travail、フランスハンドボール連盟、Intermarché、SFRなども攻撃したとみている。集団はクレテイ学区の教育機関への攻撃や、Zéro Logement Vacantの侵害も主張している。

本件で捜査対象となったのは2人目。先月には18歳の「ChatNoir」が捜査対象となり、勾留されている。Casquetteは9月初めにも拘束され、その後釈放されていた。その際は、ZeroBytesの前身とされるEpsilonに関する過去のハッキング事件だったという。

侵入の手口

攻撃者はDGFiP職員数十人分のIDを使って侵入した。情報窃取型マルウェアで盗まれた可能性が高い。仏サイバーセキュリティ庁ANSSIによると、二要素認証がないといった既知の「弱点」が悪用された。個人と事業者を合わせ、少なくとも67万8000人分のデータが盗まれた。個人情報保護当局CNILも税務当局への調査を発表している。