フランス政府機関ANTSの流出データを販売した疑いで15歳の少年を逮捕

フランス当局は、同国の行政文書の発行・管理を担う政府機関「France Titres(ANTS)」に対するサイバー攻撃で盗み出されたデータを販売したとして、15歳の少年を拘束した。

ANTS(安全証書発行庁)は、パスポートや身分証明書、運転免許証などフランスの各種公文書の発行を一元的に管理する機関である。同政府機関は、サイバー犯罪フォーラム上で「breach3d」というハンドルネームを使う人物が販売していたデータの真正性と、自組織のシステム侵害の事実を確認している。

パリ検察庁によると、ANTSは4月13日にネットワーク上の不審な活動を検知し、数日後の4月16日に当局へ通報したという。

捜査の結果、当局は当該の少年が「breach3d」の名義で、ANTSからのデータ侵害で窃取した1200万〜1800万件のレコードを販売目的で提供していたと見ている。

少年は、国が運用する自動化された個人データ処理システムへの不正アクセス、その状態の維持、データの持ち出し(流出)などの罪に加え、これらの行為を可能にするソフトウェアを所持していた罪にも問われることになる。

パリ検察庁のプレスリリースによれば、これらの罪には最長7年の懲役刑と30万ユーロの罰金が科され得るという。

現在、予審判事が本件を担当しており、検察側は収集された証拠に基づいて正式な起訴を目指すとともに、少年を司法監督下に置くよう求めている。

漏えいした個人情報の内容

4月20日、ANTSは脅威アクターがシステムに侵入し、ポータルサイト「ants.gouv.fr」上の個人アカウントおよび法人アカウントのデータにアクセスしたことを公表した。

同機関の調査により、影響を受けたデータには氏名、メールアドレス、生年月日、郵送先住所、電話番号が含まれることが判明している。

この発表は、脅威アクターがANTSへの侵入を主張し、攻撃で入手したとされる最大1900万件のレコードの販売を持ちかけたことを受けたものだ。

その後の追加情報で同機関は、影響を受けたアカウント数は1170万件に上る一方、流出したデータのみでは不正ログインなどの不正アクセスには悪用できないと説明している。

予審判事による判断が示されるまでの間、15歳の少年は正式に起訴されていない。