8月中旬、フランスのSNS上にひとつのハッカー集団の投稿が流れた。内容は、公共財政総局（DGFiP）――つまり日本で言えば国税庁にあたる組織――のシステムに侵入し、大量のデータを盗み出したというものだった。フランス政府がこの事実を認めたのは、投稿がきっかけだった。もし彼らが黙っていたら、この国はいつまで気づかずにいただろうか。

税務当局が事後に確認したところ、侵入は6月末と7月末の少なくとも2回にわたって起きており、被害は67万8,000人分の個人・事業者データに及んでいた。さらに8月18日の記者会見では、相続関連データをめぐる「3件目の流出」も見つかり、遮断したことが明かされた。公会計相のダヴィッド・アミエル氏はその場で「フランス国民にとって、今回起きたことは耐え難いものです。おわびします」と謝罪し、二要素認証の全職員への導入加速や研修強化を約束した。翌日には首相のセバスチャン・ルコルニュ氏が、国家情報システム安全庁（ANSSI）の職員で構成する新たな「サイバー部隊」の設置を要請している。

ここまでなら、よくある「謝罪と再発防止策」の物語に見えるかもしれない。だが野党や専門家の反応は、もっと踏み込んだところを突いていた。国民議会の左派会派代表マチルド・パノ氏は「ハッカーが8月12日に犯行を公表していなければ、私たちは70万件のデータ流出を知り得なかった。だがデータの窃取は6月と7月に行われていた」と述べ、DGFiPがなぜこれほど気づくのが遅れたのか、あるいは気づいていて隠していたのではないかと追及した。DGFiP長官のアメリ・ヴェルディエ氏は「8月12日まで把握していなかった」と否定しつつも、侵害発生時に行った社内調査が「不十分だった」ことは認めた。

興味深いのは、批判の矛先が「誰が悪いか」よりも「なぜ組織としてこの穴が放置されていたか」に向かっていることだ。情報システムアーキテクトのトマ・ジャルディネ氏は「技術の問題ではない。組織図の問題だ」とし、DGFiPに情報セキュリティー責任者のポストすら存在しないことを指摘した。元デジタル国家評議会事務総長のジャン＝バティスト・スフロン氏も、デジタル担当部署が予算も権限も持たないまま財務省の中に埋もれている実態を批判している。さらに、EUのサイバーセキュリティー指令「NIS 2」――重要インフラに多要素認証などを義務付けるはずだった法律――が、本来2024年10月までに国内法化されるべきだったのに、政権交代の混乱で議会審議が止まったままだという事実も明らかになった。つまりこれは、一つのハッキング事件というより、「知っていたのに実行されなかった安全対策」の物語なのだ。

この構図を日本の読者はどう眺めるだろうか。行政のデジタル化が進むほど、便利さと引き換えに「もし漏れたら」という不安が付きまとうのは、フランスに限った話ではないだろう。一般に、行政システムへの信頼は、平時には意識されず、事故が起きて初めて「誰が設計し、誰が監督していたのか」という問いとして浮上すると言われる。フランスの今回の騒動が示しているのは、その問いに答えられる体制――独立したセキュリティー責任者、迅速な公表義務、監査の仕組み――が整っていなければ、謝罪と対策発表だけでは信頼は戻らないという単純な事実だ。

一方、大西洋の向こうでは、まったく別の角度から「デジタル空間の設計責任」が問われている。6月18日、米カリフォルニア州オークランドの連邦裁判所で、Metaを相手取った裁判が始まった。米国の約30州が、同社がFacebookとInstagramの無限スクロールや「いいね」、通知、推薦アルゴリズムといった機能を、10代の若者を「強迫的な利用」に導くために設計したとして訴えているのだ。カリフォルニア州副司法長官メーガン・オニール氏は、Metaが用意した「休憩する」機能を実際に使った10代はわずか0.2％だったと指摘し、これを「薄いティッシュペーパーの障壁」と表現した。元Metaエンジニアのアルトゥーロ・ベハール氏は「製品をできるだけ早く利用者の手に届ける必要があり、安全性への配慮は後回しになった」と証言している。Metaは13歳未満の利用を禁止しているにもかかわらず、Facebookで年齢が判明してアカウントを停止しても、連携するInstagramのアカウントは停止しなかったという指摘もある。求められている制裁金は2000億ドル、判決は来年10月に見込まれる。

フランスの税務データ流出と、米国のMeta裁判。一見すると片方は「国家の不手際」、もう片方は「企業の意図的な設計」で、まったく別の問題に見える。だが並べてみると、共通する問いが浮かび上がる。デジタル空間で人々の情報や注意力を預かる側は、事故が起きてから謝るのではなく、そもそも安全に設計し、独立した目で監督し、被害が出たときに救済する仕組みを最初から組み込んでおくべきではないか、という問いだ。フランスの事件では「知っていたのに法制化が遅れた」ことが批判され、米国の裁判では「知っていたのに収益のために放置した」ことが争われている。国家であれ企業であれ、責任の所在を後回しにしてきたツケが、今まとめて表面化しているようにも見える。この見立てはあくまで二つの出来事を並べた上での解釈であり、フランスと米国の制度そのものが同じ構造だと断定するものではない。

この先、フランスでは新設されるサイバー部隊がどこまで実効性を持つか、そしてNIS 2の国内法化が今度こそ議会を通過するかが焦点になるだろう。米国では、9月末に陪審員が出す勧告的評決を経て、Apple制裁やイーロン・マスク氏とOpenAIの裁判調停でも知られるイヴォンヌ・ゴンサレス・ロジャース判事が最終判断を下す。どちらの結末も、「デジタル空間の安全コストを誰が負担するのか」という問いに、一つの答えを示すことになる。

便利な行政サービスも、便利なSNSも、私たちの生活の一部にすでに組み込まれている。その裏側で情報を預かり、注意力を集めているのが国家であれ企業であれ、事故が起きたときに「利用者が気をつけるべきだった」で済ませてよいのか。それとも、設計の段階から安全性に責任を負わせるべきなのか。あなたなら、その代金を誰に払わせたいだろうか。