「認識」と「実行」の間にあるギャップ～France Travailのデータ漏洩事例から考える

2024年2～3月にかけ、フランスの公的就業支援機関^※であり、旧Pôle Emploi（ポール・アンプロワ）として知られるFrance Travail（フランス・トラバイユ）は、自らのシステムが侵害されたことを確認しました。

その手口は、技術的な防御だけでは防ぎきることが難しいものでした。すなわち、システムを運用する「人」をだますことによって侵入されたのです。攻撃者は、フランスの障害者就労支援ネットワークである「CAP EMPLOI」のアドバイザーのアカウントを巧妙に操作し、そこからシステム内を横断的に移動しました。

その結果、福祉国家が保有する中でも特に機微性の高い個人情報を含むデータにアクセスされ、最終的に約3,680万人分の記録が侵害される事態となりました。
その後の2年間にわたる対応は、ある種の組織的な失敗の典型例となりました。それは、セキュリティインシデントの報告でよく注目される劇的なゼロデイ攻撃や国家支援組織による高度な攻撃手口とは異なるものでした。むしろ、セキュリティ上の危険性を指摘されて、それに対処するためのリソースも備えていながら、それでも行動に移さなかった組織において静かに進行する、緩やかな失敗でした。
※日本でいう、ハローワーク（公共職業安定所）に該当する組織。

何が起きたのか

2024年2～3月の侵入は、ソーシャルエンジニアリングによって実行されました。攻撃者はまず、フランスの障害者就労支援ネットワークである「CAP EMPLOI」のアドバイザーを装ってITヘルプデスク（ITサポートプロバイダー）に電話をかけ、サポート担当者を説得してアカウントのパスワードをリセットさせました。この時点でアカウントの乗っ取りは成功しています。その後、巧妙な攻撃者はITヘルプデスクを装って実際のCAP EMPLOIのアドバイザーに連絡し、新しいパスワードを渡しました。このようにすることで、該当のアカウント保有者が「アカウントにアクセスできず異変に気付く」ことを遅らせる狙いがあったと推測されます。

侵入後、該当のアクセス権限は広範設定されており、1つのアカウントで本来は関係のない個人のデータにもアクセスできる状態でした。流出と思われる記録データには、社会保障番号、メールアドレス、住所、電話番号が含まれており、これはまさに大規模ななりすまし詐欺を可能にする組み合わせです。

図：France Travailの情報漏えい事例（2024年2～3月）における攻撃の概要図

The Registerが指摘しているように、フランスの個人情報保護機関であるCNIL（Commission Nationale de l'Informatique et des Libertés）は、これらのデータが他のインシデントで流出した情報と照合されることで、個人のより詳細なプロファイルが構築され、単一のデータセットでは到達し得ないレベルまで被害が拡大する可能性があると警告しています。

それから1年以上が経過した2025年7月、2度目の侵害が発生しました。今回は、Kairosと呼ばれる求職者用のトレーニングプラットフォームを経由したもので、イゼール県に拠点を置く提携研修機関において情報窃取型マルウェア感染が発生し、34万人の求職者の情報に影響が及びました。この侵害は7月12日にフランスの国家サイバーセキュリティ機関であるANSSI^※によって検知され、7月23日に公表されました。
※ANSSI：正式名称は、Agence nationale de la sécurité des systèmes d’information。

この2度目のデータ漏洩によりは、1度目のインシデントで本来検討すべき、組織的・構造的な改善が実現されていなかったのではないか？という批判をされることになります。

ここまでの漏洩規模をまとめると以下の通りです。

• 3,680万人 — 影響を受けた個人記録数（2024年2～3月）
• 34万人 — 追加で流出した記録数（2025年7月）

被害の数字の向こうにいる人々

1度目のインシデント時、攻撃者が侵入経路として利用したCAP EMPLOIは、一般的な就業支援サービスではありません。これは、障がいのある方々が労働市場での就業を目指す際に支援を行うネットワークです。そうした人々は、多くの場合、複合的な不利な状況に直面しています。就業機会の制約、福祉制度への依存度の高さ、そして、なりすまし被害などの二次的影響に対して十分な経済的余力を持たないことなどです。

Infosecurity Magazineの報道によれば、サイバーセキュリティの専門家は、20年分に及ぶ求職者データがすべての職員からアクセス可能な状態にあったことに懸念を示しています。このようなデータ保持とアカウント権限管理のあり方は、本来であれば限定的で済んだはずの被害を、はるかに重大なものにしてしまったと言えます。

このインシデントは、個々人への影響を超えて、さらに測定しにくいものにも損害を与えました。それは、「制度に対する信頼」です。

政府の雇用機関は、市民が収入や障がいの有無、住所といった機微な個人情報を提供する代わりに、必要な支援を受けられるという前提のもとで成り立っています。しかし、こうした侵害が起こるたびに、その暗黙の合意は揺らいでいきます。福祉、税、雇用といった分野にまたがって機微な情報を一元管理する仕組みである以上、データが集中すればするほど、アクセス管理が破綻した際のリスクは高まります。

2度目の侵入が発生した時点で、France Travailは1年半の間に2度にわたり、データ管理者としての信頼を損なっていました。2度目のインシデントが突きつけた問いは、データを任せられるかどうかではありませんでした。なぜ同じ失敗を繰り返してしまうのか、その理由を組織として理解しているのかという点だったのです。

CNILが明らかにした問題とその意味

2026年1月22日、最初の侵害からほぼ2年後、フランスのデータ保護当局であるCNILは判断を下しました。内容は、GDPR Article 32（適切な技術的および組織的なセキュリティ対策の実施を義務付ける条項）違反に対する500万ユーロ（約9.2億円）の制裁金に加え、必要な是正措置の実施遅延に対して1日あたり5,000ユーロ（約92万円）の罰金を科すというものでした。

画面：フランスCNILによるFrance Travailへの制裁内容（2026年1月）

CNILの指摘 — 根本原因

No.	内容
1	CAP EMPLOIのアドバイザーアカウントにおける認証の脆弱性 — 8文字のパスワードが許可されており、多要素認証（MFA）は未導入。さらに、アカウントロックまでに最大50回のログイン失敗が許容されていた。
2	ログ取得および監視体制の不備 — 侵害検知の遅延。1日で9GBのデータが流出していたにもかかわらず検知できなかった。
3	過度に広範なアクセス権限 — アドバイザーが担当していない個人のデータにもアクセス可能であった。
4	自らの影響評価で既に特定されていたセキュリティ対策を実装していなかった

表：CNILにおける審議で指摘された主な問題点（2026年1月29日掲載）

・違反内容：GDPR第32条 — 技術的および組織的なセキュリティ対策の不備
・制裁金：500万ユーロ、是正遅延に対する日次罰金：5,000ユーロ（1日あたり）

（参考情報）
「Délibération SAN–2026-003 du 22 janvier 2026」（2026年1月29日。フランス法令データベースサービス「Légifrance」）

これらの中でも、4番目の指摘は他とは本質的に異なります。認証の脆弱性やログ監視の不備は「セキュリティ上の失敗」です。しかし、自らの影響評価の中で既に特定され、推奨されていた対策を実装していなかったという点は「ガバナンスの失敗」を意味します。これは、侵害が発生する前から組織が必要な情報を持っていたにも関わらず、組織的な慣習や優先順位の歪みによって行動を取らなかったことが示唆されていると言えるでしょう。

アドバイザーのアカウントでは8文字という短いパスワードが許可されており、多要素認証も導入されていませんでした。また、アカウントロックまでに50回ものログイン失敗が許容されていたとされています。これらは、いかなるセキュリティ評価においても即時対応が必要と判断されるレベルの問題です。CNILは事実上、「この侵害が防ぎ得たものであった」ことを認定したと言えます。

日本の個人情報保護法の適用を受ける組織にとっても、この指摘の構造は見覚えがあるはずです。個人情報保護委員会（PPC）が示す「安全管理措置のガイドライン」においても、対策が文書上存在するだけでなく、実際に有効に機能していることが求められます。影響評価で問題点が特定されながら是正が行われない場合、それはGDPRでも個人情報保護法でも「既知の欠陥」を意味し、正当化の理由にはなりません。

サプライチェーンリスクの観点からの指摘

今回の事例におけるCNILの審査報告では、サプライチェーンリスクの管理についても参考にできる点があります。すなわち、システムを提供したFrance Travail とそのシステムの利用者であるCAP EMPLOIの責任の所在に関する議論です。本報告では、France Travailが情報システムのセキュリティを確保するための措置を展開・管理するイニシアティブを取っている点を指摘しています。

さらに、2者間の契約文書からCAP EMPLOIが情報システムへのアクセスに必要な投資および運営費用、さらに重要な部分の責任を担っていることは明らかとしたものの、前述のイニシアティブからFrance Travail が自社の情報システムに適用されるセキュリティルールの実施を指揮する責任がある、と指摘しています。

今回の場合、France TravailはCAP EMPLOIに提供するツールの開発者およびホストとして、選択したソリューションの実現可能性を評価し、それぞれの制約に応じて適応する責任を負う、としています。具体例として、多要素認証の欠如については、CAP EMPLOIの独立性による難しさはあるものの、France Travail がOTP用のツールをCAP EMPLOIの従業員に配布することで克服できた可能性を指摘しています。

2者間、あるいはそれ以上の関与者が絡むITシステムの場合、情報セキュリティを確保するための措置を誰が主導するのか？について、事前に関係者間で明らかにすることで、トラブルやインシデントが起きるリスクそのものも低減することにもつながるでしょう。

（関連記事）
経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度」とは？～2026年度の制度開始に備えるべきポイントを解説

500万ユーロの制裁金の効果は？

制裁金に対する好意的な見方

GDPRに基づく制裁金が実効的な抑止力として機能するのかという問いは、実際に議論が分かれており、France Travailの事例はその両面を示しています。
まず、抑止力としての側面は確かに存在します。たとえ組織全体の予算規模と比べて相対的に小さい額であっても、金銭的な制裁は、単なるセキュリティ上の勧告だけでは生まれにくい「内部的な圧力」を生み出します。「GDPR違反による罰金」という予算項目は、通常の内部監査報告では得られないレベルで、経営層の関心を引き寄せるでしょう。

特にCNILによる日次の罰金は、その性質がより強力です。これは一度限りの制裁を継続的な運用コストへと変換するものであり、大規模な組織であっても先送りし続けることが難しくなります。また、金銭面とは別に評判（レピュテーション）への影響も無視できません。公的機関にとって規制当局からの指摘は、民間企業の経営層が直面する状況以上に、政治的なリスクを伴うものとなります。

オックスフォード大学が出版するJournal of Cybersecurityに掲載された研究でも、CISOや弁護士、規制当局担当者など、シニアレベルのセキュリティ実務者の一部は、大きく報道される制裁金がデータセキュリティへの投資を経営層に促すうえで効果的な手段の一つであると認識していることが示されています。これは、罰金そのものが痛手であるからではなく、セキュリティのリスクを専門家でない意思決定者にも「理解可能な形」に変換するためです。

制裁金の効果に対する疑義

一方で、否定的な見方も無視できません。国家レベルの大規模機関にとって、500万ユーロは年間の運用予算のごく一部に過ぎません。さらに構造的な問題として、公的機関は民間企業のように柔軟に予算を再配分することが難しく、制裁金が単に吸収されるだけで、本来是正されるべきセキュリティ体制に変化が生じない可能性もあります。実際、欧州全体の執行状況を見ても懸念は残ります。GDPR施行以降、各国のデータ保護当局は活発に活動し、累計で2,500件以上、総額約61億ユーロの制裁金（2026年3月時点）が科されていますが、申立てのうち実際に金銭的制裁に至る割合は依然として低く、組織の行動を広範に変えるだけの一貫した抑止力となっているかには疑問が残ります。

さらにFrance Travailの事例で重要なのは、侵害発生からCNILの裁定までに22か月を要した点です。この間に2度目のインシデントがすでに発生していました。CNILの最終的な判断がFrance Travailの今後の行動に影響を与える可能性はあるとしても、それは2025年7月の侵害を防ぐには遅すぎたとも言えるかもしれません。

日付	出来事
2024年2月〜3月	ソーシャルエンジニアリング攻撃が進行、CAP EMPLOIのアカウントが侵害される
2024年3月8日	France Travailが侵害の事実をCNILへ通知
2024年3月13日	France Travailが侵害の事実を公表
2025年7月12日	2度目の侵害をKairosプラットフォーム経由でANSSIが検知
2025年7月23日	France Travailが2度目の侵害を公表、34万人に通知
2026年1月22日	CNILの裁定：500万ユーロの制裁金＋1日あたり5,000ユーロの遅延罰金を公表

表：France Travailの情報漏えいに関する出来事（2度目の侵害は、最初のインシデントに対する規制当局の裁定が下される前に発生している）

日本の法人組織にとっての意義

つまり、将来的な規制責任のリスクは、十分に現実的でも、十分に差し迫ったものでもなく、その間に実効的な是正措置を促す力にはなりませんでした。他のGDPR執行事例を見ても安心材料は多くありません。制裁を受けた組織の中には真の改革を行う例もある一方で、規制当局の関心が薄れると従来の運用に戻ってしまうケースも見られています。

個人情報保護法（APPI）の適用を受ける日本の組織にとって、この点は特に重要です。PPCの執行モデルは、構造的に欧州とは異なり、これまで罰金よりも指導や勧告を重視してきました。また、セキュリティ違反に対する最大罰金もGDPRと比べて大幅に低い水準にとどまっています。2022年に施行された改正法では、一部の違反に対して最大1億円の罰金が導入されましたが、それでも欧州の売上連動型の制裁と比べると限定的です。このように見ると、「罰金だけで是正が進むのか」という問いは、APPIの下で運用される日本の組織にとっても極めて重要です。欧州においてさえ高額な制裁が必ずしも一貫した効果を生んでいないのであれば、組織内部から主体的にセキュリティ投資を進める必要性は、なおさら高いと言えるでしょう。

問題は個別の事件ではなく、繰り返されるパターンにある

日本およびアジア太平洋地域で大量の個人データを扱う組織にとって、France Travailの事例は、フランスの規制政策や雇用機関特有の脆弱性を示すものとして読むべきではありません。むしろ重要なのは、この事例が明らかにした「失敗のパターン」が、業種や地域、組織の種類を問わず広く見られるものである点です。

CNILが指摘した4つの根本原因、すなわち認証の脆弱性、監視体制の不備、過度に広いアクセス権限、そして既知の脆弱性に対する対応の先送りは、いずれも特異なものではありません。これらは世界中のインシデント後分析で繰り返し確認されている典型的な問題です。

Verizon 2025 Data Breach Investigations Reportによれば、ソーシャルエンジニアリングやヒューマンエラー、認証情報の不正利用といった「人的要因」は、確認された全侵害の約60％に関与しており、特にソーシャルエンジニアリングは、ほぼすべての業界で主要な攻撃手法の一つとなっています。また、IBM Cost of a Data Breach Report 2025では、データ侵害の世界平均コストは444万ドル（約7.1億円）とされており、この文脈で見ると、France Travailに科された500万ユーロの制裁金は、被害規模に対して一定の妥当性を持つものの、その決定が遅れた点に変わりはありません。

ソーシャルエンジニアリングによる攻撃が特に検知しにくいのは、正規の認証情報を悪用する点にあります。システムログの視点から見ると、攻撃者は「正規ユーザが正規の操作をしている」ようにしか見えません。この種の侵入を検知するには、France Travailに欠けていたもの、すなわち詳細なログ取得、行動ベースの監視、そして異常なデータアクセスが即座に検知されるような適切に絞られたアクセス制御が不可欠です。これらはいずれも新しい防御策ではなく、GDPR以前から存在する基本的なセキュリティ対策です。問題はベストプラクティスを知らなかったことではありません。「知っていること」と「実行すること」の間にあるギャップでした。

この事例が投げかける最も重要な問いは、「これが自社でも起こり得るのか」ではありません。「すでに起きていた場合、それを私たちは認識できるのか」という問いです。

まとめ

France Travailのデータ漏洩は、他のインシデントと比較して、それほど技術的に高度な攻撃の事例とは言えないでしょう。CNILによる500万ユーロの制裁金の裁定は、形式的な責任追及を示すものでしたが、それは数千万人分の記録がすでに流出し、さらに2度目の侵害が重なった後に下されたものでした。

規制当局による制裁は、いわば最後の手段です。それは被害が発生した後に結果として課されるものであり、将来の行動を変えるかどうかは必ずしも保証されません。より本質的な教訓は、組織のあり方に関わるものです。すでに特定されながら実装されていないセキュリティ対策は、単なる技術的な負債ではありません。

「知っていること」と「実行すること」の間にあるギャップーー。France Travailの事例は、セキュリティに関わる全ての人に、この「深い谷」の問題点を突き付けています。

＜出典＞
・CNIL — Data breach: FRANCE TRAVAIL fined €5 million (January 22, 2026)
・Cybernews — France fines unemployment agency €5m over data breach (January 2026)
・Infosecurity Magazine — French Employment Agency Data Breach Could Affect 43 Million (March 2024)
・Help Net Security — 43 million workers potentially affected in France Travail data breach (March 2024)
・The Register — Record mega breach in France impacts up to 43 million people (March 2024)
・Infosecurity Magazine — New Data Breach Could Affect 340,000 Jobseekers (July 2025)
・Cybernews — 340K exposed after France Travail breach via Kairos (July 2025)
・GDPR — Article 32: Security of Processing (full legal text)
・Journal of Cybersecurity — GDPR and the indefinable effectiveness of privacy regulators: Can performance assessment be improved? (Oxford Academic, 2024)
・CMS Law — GDPR Enforcement Tracker Report 2024/2025
・Personal Information Protection Commission (PPC) Japan — Official portal
・RadarFirst — What You Need to Know About Japan’s Amended APPI Law (2022)
・DLA Piper — Updates for the Amendment of Japan’s Act on the Protection of Personal Information (2022)
・IBM — Cost of a Data Breach Report 2025
・Verizon — 2025 Data Breach Investigations Report (DBIR)
・Deepstrike — Social Engineering Statistics 2025