ルーヴル美術館の映像監視のパスワードが「LOUVRE」だったって本当？宝飾品が盗まれた4分間と、10年前の監査報告書の中身

2025年10月19日の朝、パリのルーヴル美術館から、フランス王家ゆかりの宝飾品8点が、開館からわずか30分後に盗まれました。その2週間ほどあと、フランスのリベラシオン紙が、ある監査報告書の中身を報じます。2014年の時点で、美術館の映像監視サーバーのパスワードは「LOUVRE」。別の映像監視ソフトのパスワードは、メーカーの社名そのままの「THALES」だった、というのです。

今日の知ってた？
背景：開館30分後の「4分間」
もう少し詳しく
海外の反応
まとめ
参考資料

今日の知ってた？

🔑 2014年、フランス政府のサイバーセキュリティ機関である国家情報システムセキュリティ庁（ANSSI）がルーヴル美術館の情報システムを監査し、映像監視サーバーのパスワードが「LOUVRE」、フランスの電機・防衛大手タレス製の映像監視ソフトのパスワードが「THALES」だったと報告書に記した。

🖥️ 同じ報告書によると、美術館の事務用ネットワークでは、マイクロソフトが2010年7月にセキュリティ更新を打ち切ったWindows 2000がまだ動いていた。

📰 この報告書の中身は、2025年10月19日の宝飾品盗難事件のあと、11月初めにリベラシオン紙が、入手した非公開の監査報告書や公的な調達書類をもとに報じて明るみに出た。

⚠️ ただし、事件の泥棒は家具運搬用のリフトで窓まで上がり、ガラスを切って押し入っている。パスワードや古いソフトが事件に関わったことを示すものは、これまでの報道では見当たらない。

背景：開館30分後の「4分間」

事件が起きたのは、2025年10月19日の午前9時30分ごろ、美術館が開いて30分ほどたった頃でした。狙われたのは、セーヌ川に面した南側にある「アポロンのギャラリー」です。フランス王室の宝飾品のうち今に残るものを集めた部屋で、ルイ15世の王冠や「オルタンシア」と呼ばれるダイヤモンドも、ここに展示されていました。

一味は工事の作業員を装い、蛍光色のベストを着て現れました。トラックに積んだ家具運搬用のリフト（引っ越しなどで、荷物を窓から上げ下ろしする昇降機）で、日本でいう2階のバルコニーまで上がると、円盤状の刃で切る電動工具（ディスクカッター）で窓ガラスを破って中へ入ります。警備員を電動工具で脅して2つの展示ケースから宝飾品を奪い、リフトで降りて、外でスクーターに乗って待っていた2人と逃げました。AP通信が再現した時刻では、午前9時30分にリフトが窓の高さまで上がり、9時34分にガラスが破られ、9時38分にはもう姿が消えていました。ガラスを破ってから逃げ去るまで、わずか4分間の犯行です。

一味が持ち出したのは9点でしたが、逃げる途中で、ナポレオン3世の皇后ウジェニーの王冠を落としています。王冠は壊れた状態で見つかり、盗まれたのは残る8点です。フランス文化省の発表によると、マリー＝アメリー王妃とオルタンス王妃が身につけたサファイアのティアラ、ネックレス、イヤリングの片方。ナポレオンが皇后マリー＝ルイーズに結婚祝いとして贈ったエメラルドとダイヤモンドのネックレスと、エメラルドのイヤリング一対。そして、ウジェニー皇后の真珠とダイヤモンドのティアラ、大きなリボン形のブローチ、聖遺物箱をかたどったブローチでした。パリの検察官ロール・ベキュオは、美術館の学芸員による被害額の見積もりを8,800万ユーロ（AP通信によれば約1億200万ドル）と明らかにし、「これらの宝飾品は、もちろん、もう売ることはできない」「まだ返す時間はある」と呼びかけています。

捜査は早く進みました。10月25日に2人の男が逮捕され、1人はシャルル・ド・ゴール空港からアルジェリア行きの便に乗ろうとしていたところでした。2人は「組織的な集団による窃盗」と「犯罪の共謀」の罪で起訴され、10月末までに逮捕された人は計7人になります。英語版ウィキペディアの記事によれば、11月下旬までに起訴されたのは計5人です。ただ、宝飾品の行方は、2026年8月の時点でも分かっていません。

事件の3日後の10月22日、ロランス・デ・カール館長は上院の文化委員会に呼ばれ、事件当時、建物の一部が外のカメラで十分に捉えられていなかったことを認めました。事件の当日に辞任を申し出たものの、受け入れられなかったとも述べています。マクロン大統領がデ・カール館長の辞任を受け入れたと発表されたのは、2026年2月24日です。アポロンのギャラリーは、2026年7月22日に公開を再開しました。

もう少し詳しく

2014年の監査が見つけたもの。リベラシオン紙の報道を詳しく紹介した米国のIT専門誌CSOオンラインによると、同紙が読んだ2014年のANSSIの監査報告書には、映像監視サーバーのパスワードが「LOUVRE」、タレス製の映像監視アプリのパスワードが「THALES」と書かれていました。事務用のネットワークでは、すでに更新の止まっていたWindows 2000が使われていました。ANSSIは、もっと複雑なパスワードにすること、開発元がサポートしている版へソフトを移すこと、見つかった弱点（脆弱性）をふさぐことを勧めています。リベラシオン紙は、この勧告に従ったのかを美術館に尋ねましたが、答えはありませんでした。CSOオンラインは「少なくとも一部が守られなかったのは明らかだ」と書いています。

3年後にも同じ指摘、そして「更新できないソフト」。2017年には、フランス国立高等安全・司法研究所（INHESJ）があらためて監査し、「一部の端末のOSが古い（Windows 2000とWindows XP）」と指摘しました。Windows XPは、マイクロソフトが2014年に延長サポートを終えたOSです。リベラシオン紙は監査報告書のほかに、美術館が出してきた入札の公告などの調達書類も調べています。そこから見えてくるのは、約20年かけて、アナログとデジタルの映像監視、侵入の検知、入退室の管理と、別々のシステムを継ぎ足してきた姿です。たとえば、タレスが2003年に納めた「Sathi」というシステムは、2019年2月までにタレスのサポートが終わっていました。2021年の書類では、2015年にサポートが切れたWindows Server 2003のマシンで動いており、2025年半ばに美術館がまとめた「更新できないソフトウェア」の一覧にも、Sathiの名前が8件並んでいました。CSOオンラインはこれを「20年分の技術的負債（後回しにしてきた手直しのツケ）」と表現しています。

パスワードのせいで盗まれたわけではない。事件のあと、この話は「パスワードがLOUVREだったから盗まれた」かのように受け取られがちでした。けれども、報じられたのは2014年の監査の記録で、事件の日にも同じパスワードが使われていたかどうかは、これまでの報道では分かっていません。泥棒の手口はリフトとカッターによる物理的なもので、CSOオンラインも、ソフトの古さが事件に関わったことを示すものはないとしています。フランス文化省によると、窓と展示ケースの警報は正常に作動し、警察は3分以内に駆けつけました。そのうえで、文化省の監察総局（IGAC）は最初の調査結果で、監視設備が足りなかったことなど、いくつもの警備の不備を挙げました。文化相は運営の新しいルールづくりと、年内にすべての警備の手順を急いで見直すことを求め、マクロン大統領も、以前の監査で示された勧告の実施を急ぐよう指示しています。パスワードの話は、事件の原因というより、10年前に指摘された弱点が残っていたことを示す例として注目されたのです。

日本でも「admin」「123456」が試されている。施設の名前やメーカーの社名、「password」「123456」のような推測しやすい文字列は、機器に勝手に入ろうとする側が真っ先に試すものです。日本では、総務省と情報通信研究機構（NICT）が2019年2月から「NOTICE」という調査を行っています。ルーターやウェブカメラ、センサーなどのネットにつながった機器に、過去のサイバー攻撃で使われたものを含む約100通りのIDとパスワード（「password」「888888」「123456」「admin」など）を入力して、ログインできてしまう機器を探す取り組みです。INTERNET Watchの2019年7月の記事によれば、それまでにプロバイダ33社が提供する約9,000万のIPアドレスを調べ、ログインできて注意を促す対象になった機器は延べ147件でした。総務省とNICTは、適切なIDとパスワードを設定し、機器のソフト（ファームウェア）を最新にするよう呼びかけています。世界的な美術館の「LOUVRE」も、家の防犯カメラを初期設定のまま使うことも、狙う側から見れば同じ「最初に試す答え」です。

海外の反応

1. 海外の名無しさん
うちの近所のカフェなんか、少なくともパスワードの最後に「123」を付けてるぞ。ルーヴルより一枚上手だな。

2. 海外の名無しさん（>>1への返信）
うちの近所のカフェのWi-Fiのパスワードは「youneedtobuyadrinkfirst（まず飲み物を買え）」。全部小文字。店員にパスワードを聞いた時点で、もう注文するしかなくなる。

3. 海外の名無しさん（>>2への返信）
知り合いは家のWi-Fiのパスワードを「friendsonly（友達だけ）」にしてる。誰かに「パスワード何？」って聞かれたら、「友達だけだよ」って答えるんだって。

4. 海外の名無しさん（>>3への返信）
昔のコントを思い出した。パスワードが「fourwordsalluppercase（4単語、全部大文字）」で、人に教えるときは「1単語で、全部小文字。fourwordsalluppercase」って言うやつ。

5. 海外の名無しさん
2025年の記事にこう書いてある。フランス王室の宝飾品が盗まれたあと、リベラシオン紙が非公開の書類を調べたところ、専門家は10年以上前から美術館の警備に懸念を示していた。たとえば2014年には、映像監視サーバーのパスワードが「LOUVRE」で、タレス社のソフトのパスワードは「THALES」だった、と。

6. 海外の名無しさん（>>5への返信）
もし口で「パスワードはLOUVREね」って言われてたら、「LOUVER」だの「LUVRE」だの何回も打ち間違えて、ロックがかかって締め出されてたと思う。

7. 海外の名無しさん（>>6への返信）
本当のパスワードは「louvreinallcapitals（全部大文字でルーヴル）」なんだよ。

8. 海外の名無しさん
信頼できる情報源はあるの？　リンク先の記事、「俺を信じろ」くらいの書き方しかしてないんだけど。

9. 海外の名無しさん（>>8への返信）
イギリスのインディペンデント紙が報じてる。「8,000万ポンドの盗難事件のあと、ルーヴル美術館の警備の甘さにあらためて厳しい目が向けられている。映像監視に入れるパスワードが『Louvre』だったことが明らかになった」「リベラシオン紙が入手した非公開の書類によると、2014年には、この単純なパスワードで映像監視を担うサーバーに入れた」。タレス製のソフトも、パスワードは社名そのままだったそうだ。

10. 海外の名無しさん（>>8への返信）
元の記事はリベラシオン紙のこれ。フランス語だけど、見出しは「パスワードはLOUVRE、古いソフト、更新できないシステム……世界一の美術館の情報セキュリティ、10年分の穴」って感じ。翻訳にかければ普通に読めるよ。

11. 海外の名無しさん（>>9への返信）
パスワードの件はたしかにまずい。でも、そのソフトが警備室にある数台のパソコンからしか触れないなら、問題はずっと小さくなる。

12. 海外の名無しさん（>>11への返信）
とはいえ、同じ報告書には、2010年に更新が止まったWindows 2000が事務用のネットワークで動いてたとも書いてある。2017年の監査でもXPと一緒にまだ残ってたらしいし、「中からしか触れないから大丈夫」で済む話じゃないと思う。

13. 海外の名無しさん
だから俺は、友達や客のアカウントを作るとき、「IamSt00pid123（私はバカです123）」とか「veryB@dpassw0rd（とても悪いパスワード）」みたいなパスワードにしてた。みんな自分で変えるか、少なくとも人とかぶらないパスワードにはなる。
簡単に当てられる暗証番号だったのは、認知症の病棟のドアくらい。番号は病棟の住所だった。住んでる人は誰も自分の住所を覚えてなかったけど、職員は知ってた。

14. 海外の名無しさん（>>13への返信）
祖母が入った認知症の病棟も、正面のドアから出るには暗証番号が要った。番号は「1212」で、ドアから10歩くらいのところにメモで貼ってあった。患者さんは出ていかなかったけど、職員と面会に来た人は何も困らなかった。

15. 海外の名無しさん（>>14への返信）
義母がいた施設は、暗証番号が毎日変わった。といっても、その日の日付の4桁なんだけどね。日付が分かれば簡単に出られるけど、入居者のほとんどは分からない。それに受付の人もいるから、守りは二重になってた。

16. 海外の名無しさん（>>13への返信）
最近は、記号をちりばめた短いパスワードより、単語をいくつもつなげた長いパスワードが勧められてるよ。覚えやすいのに、破るのは難しい。

17. 海外の名無しさん（>>13への返信）
なるほど、だからスターリンク（衛星インターネット）のルーターは、最初のネットワーク名が「STINKY（くさい）」なのか。誰だってすぐ変えたくなる。

18. 海外の名無しさん
病院で働いてたころ、ある朝、自分の入館証が反応しなくて、みんな職員に手でドアを開けてもらって入ってた。施設課に新しいカードをもらいに行ったら、本当の理由を教えてくれた。
設置業者が、セキュリティシステムをデモモードのままにしてたんだ。かざして使う方式（NFC）のものなら文字どおり何でも、病院中のどの鍵でも開いた。分かったきっかけは、何キロも離れたまったく関係ない役所の建物の、駐車場用のキーを拾った人が、落とし主を探して届けようと歩き回るうちに、鍵のかかったドアをいくつも通り抜けちゃったこと。
セキュリティについては、何ひとつ「たぶん大丈夫」と思っちゃいけない。

19. 海外の名無しさん（>>18への返信）
昔、会社のIT管理をやってたんだけど、着任したら、正面玄関の電子錠に電気と信号を送るケーブルが、24時間開けっぱなしのロビーを通って、玄関のすぐ横の差し込み口につながってた。誰かが抜けば、錠は安全モードになって開く。
錠を制御するサーバーにはパスワードすらなかったから、キーパッドに印刷されてるメーカーの公開ソフトを入れて、その差し込み口につなげば、誰でも自分用の入館情報を登録できた。ネットワーク機器も電話も、パスワードは全部初期設定のまま。着任してしばらくは、ずいぶん忙しかったよ。

20. 海外の名無しさん
バカだなあ。パスワードの最後に年を付けるのを忘れてる。「LOUVRE2014」にしておけば安全だったのに。

21. 海外の名無しさん
ニューヨーク州の軍事・海軍局のWi-Fiのパスワードは、俺が州兵にいた間ずっと「verysecure（とても安全）」だったぞ。
※ 州兵：アメリカで州ごとに置かれている軍の組織。

22. 海外の名無しさん
「惑星を守るシールドのパスワードは12345です」
「すごい、うちの旅行かばんの番号と同じだ！」
※ メル・ブルックス監督のSFパロディ映画『スペースボール』（1987年）の有名な場面。

23. 海外の名無しさん
パスワードの話ばかり盛り上がってるけど、実際の泥棒はハッキングなんかしてない。工事の人のふりをして、家具用のリフトで窓まで上がって、カッターでガラスを切っただけ。開館中の美術館で、たった数分だよ。

24. 海外の名無しさん（>>23への返信）
だから余計に怖いんだよ。2014年に指摘されて、2017年にまた指摘されて、それでも古いシステムが残ってた。パソコンでも建物でも、「まさか誰も試さないだろう」で後回しにされてたってことでしょ。

25. 海外の名無しさん
タレスってフランスの防衛・電機の大手だよね。そこのソフトのパスワードが社名そのままって、たぶん初期設定のまま誰も変えなかったんだろうな。家のルーターと同じ失敗を、世界でいちばん有名な美術館でやってたわけだ。
※ このパスワードを誰が設定したのかは、報道では明らかにされていない。