LINEヤフー 不正アクセスによる情報漏えい

何があったか

入口

LINEヤフーと委託先のNAVER Cloud社が、それぞれセキュリティ保守を委託していた企業の従業員PCがマルウェアに感染し、攻撃者がそのPCを遠隔操作できる状態になった

決め手の失敗

NAVER Cloud社と旧LINE社の間で従業員情報を扱う認証基盤を共同利用し、業務上必要な通信に絞らない広いネットワーク接続を許容していた。ユーザー情報を扱うデータ分析システム等には多要素認証が導入されておらず、ID・パスワードだけで入れる状態だった

被害

LINEユーザーの個人データ約30万件、取引先の個人データ約8万6千件、従業員の個人データ約13万件、合わせて約52万人分の個人データの漏えいまたは漏えいのおそれが確認された

攻撃の流れ

1. 入口LINEヤフーとNAVER Cloud社がそれぞれセキュリティ保守を委託していた企業（A社）の従業員PCが2023年8月にマルウェアに感染し、攻撃者がこのPCを遠隔操作できる状態になった
2. 偵察A社の従業員が定期点検のためNAVER Cloud社の管理者PCにリモート接続した際、攻撃者はその管理者PCとNAVER Cloud社のウイルス対策管理サーバーをマルウェアに感染させた。さらにそのサーバーを足場にNAVER Cloud社の管理者権限を奪い、NAVER Cloud社の認証基盤システムに侵入して、LINEヤフー従業員のID・パスワードのハッシュ値を盗み出した
3. 広がり攻撃者は、マルウェアに感染させたNAVER Cloud社の管理者PCから、LINEヤフーがA社に発行していた委託先用のID・パスワードを使い、LINEヤフーのウイルス対策管理サーバーへ不正アクセスした。続けて、盗んだハッシュ値を使いLINEヤフー従業員向けの認証基盤システムへも不正アクセスした
4. 持ち出し認証基盤システムで得たID・パスワードを使い、データ分析システム、ソースコード管理システム、社内文書管理システム、社内コミュニケーションに係るシステム、NAVERグループと共通の認証基盤システムへアクセスし、LINEユーザー、取引先、従業員の個人データを取得した
5. 影響LINEのアカウント情報、メッセージ、通話音声、動画配信を管理するサーバーへの不正アクセスは確認されなかったが、利用履歴などのユーザー情報や取引先・従業員の情報が外部に漏えいした

数字で見る

• 302,980人分 LINEユーザーの個人データ[4] うち日本のユーザー130,192人分
• 86,211人分 取引先の個人データ[4]
• 130,315人分 従業者の個人データ[4]
• 約52万人分 漏えい（おそれを含む）した個人データの総数[4]
• 約3か月半 LINEヤフーが事案の全容を把握するまでにかかった時間[4]
• 2回 総務省による行政指導の回数[5] 2024年3月5日と同年4月16日

気づいたきっかけ

2023年10月17日、LINEヤフーのセキュリティ部門がシステムへの不審なアクセスを検知して調査を始めた。10月27日、外部からの不正アクセスである蓋然性が高いと判断した

対応と復旧

10月27日、不正アクセスに使われた可能性のある従業員のパスワードをリセットし、経路と推測される関係会社のシステムからのアクセスを順次遮断した。10月28日には社内システムへの接続について再ログインを強制した。11月27日に最初の公表を行い、12月27日と2024年2月14日に追加調査の結果を公表した。2024年2月14日の公表では、社外のメールやSlack等のサービスシステムについても提供元に情報提供を依頼する追加調査を行い、影響範囲の最終調査を完了したとしている。その後、NAVER Cloud社との認証基盤の分離や社内システムのネットワーク分離を進め、2026年7月15日に総務省と個人情報保護委員会へ再発防止策の実施状況の最終報告を行った

組織が認めた原因と、決めた対策

自分のサービスで確かめること

• 委託先やグループ会社と共通の認証基盤やアカウントを使っている場合、そこが侵害されたときに自社のどこまで影響が及ぶか把握しているか
• 他社や委託先とのネットワーク接続が、業務上必要な通信だけに絞られているか、それとも広く許容されたままになっていないか
• 個人データを扱う全てのシステムに多要素認証が漏れなく入っているか、過去に指導や指摘を受けた対応が形だけで終わっていないか
• 個人データの取扱いを委託していない相手でも、自社システムへの広範なアクセス権限を持つ相手を監督の対象から外していないか
• 侵入検知の仕組みが、通常と異なる経路や接続元からのアクセスを検知できる設計になっているか

関わる攻撃とレッスン

時系列

1. 2023年
2. 8月10日 侵入 LINEヤフーとNAVER Cloud社がセキュリティ保守を委託していた企業（A社）が不正アクセスを受けた[4]
3. 9月14日 侵入 マルウェアに感染したNAVER Cloud社の管理者PCを経由し、LINEヤフーのサーバーの社内システムへの不正アクセスが始まった[2]
4. 10月17日 発覚 LINEヤフーのセキュリティ部門がシステムへの不審なアクセスを検知し、調査を開始した[2]
5. 10月27日 対応 外部からの不正アクセスである蓋然性が高いと判断し、パスワードのリセットと関係会社のシステムからのアクセス遮断を順次実施した[2]
6. 10月28日 対応 従業員の社内システムへの接続について再ログインを強制実施した[2]
7. 11月27日 公表 不正アクセスによる情報漏えいを公表した（第1報）[2]
8. 2024年
9. 2月14日 公表 社外のサービスシステムも含めた追加調査の最終結果と再発防止策を公表した[1]
10. 3月5日 処分 総務省が電気通信事業法に基づき、安全管理措置や委託先管理の抜本的な見直し等を求める行政指導を行った[5]
11. 3月28日 処分 個人情報保護委員会が個人情報保護法第148条第1項に基づき、組織的安全管理措置の不備を是正するよう勧告した[4]
12. 4月16日 処分 総務省が、4月1日付の改善報告を不十分とし、NAVER社との資本関係の見直しを含む対策の加速化を求める2度目の行政指導を行った[6]
13. 2025年
14. 4月30日 公表 個人情報保護委員会が改善状況の概要を公表し、認証基盤の分離などが計画どおり進んでいるとした[7]
15. 2026年
16. 7月15日 復旧 総務省と個人情報保護委員会へ再発防止策の実施状況の最終報告を行い、受領された[8]

攻撃した側について

LINEヤフー、総務省、個人情報保護委員会のいずれも、攻撃者の名前や所属する組織を公表していない

出典

2026年10月24日に開いて確かめました。本文の [1] などの数は、この一覧の番号です。

1. 不正アクセスによる、情報漏えいに関するお知らせとお詫び（2024/2/14更新） LINEヤフー株式会社、2024年2月14日、被害組織の資料
2. 不正アクセスによる、情報漏えいに関するお知らせとお詫び LINEヤフー株式会社、2023年11月27日、被害組織の資料
3. 不正アクセスによる個人情報漏えいへの再発防止策に関するお知らせ LINEヤフー株式会社、2024年2月14日、被害組織の資料
4. LINEヤフー株式会社に対する個人情報の保護に関する法律に基づく行政上の対応について 個人情報保護委員会、2024年3月28日、公的機関の資料
5. LINEヤフー株式会社に対する通信の秘密の保護及びサイバーセキュリティの確保に係る措置（指導） 総務省、2024年3月5日、公的機関の資料
6. 通信の秘密の保護及びサイバーセキュリティの確保の徹底に向けた措置について（指導） 総務省、2024年4月16日、公的機関の資料
7. LINEヤフー株式会社への勧告等に対する改善状況の概要及び同社への対応方針について 個人情報保護委員会、2025年4月30日、公的機関の資料
8. 不正アクセスによる情報漏えいへの再発防止策に関する報告完了のお知らせ LINEヤフー株式会社、2026年7月21日、被害組織の資料