LINEヤフーのサイバー攻撃から学ぶ不正アクセス・委託先管理対策

2023年に公表されたLINEヤフーの不正アクセス事案を覚えている方も多いのではないでしょうか。

2023年9月14日から10月27日にかけて、LINEヤフー株式会社の旧LINE社環境が不正アクセスを受け、後に約52万人分の個人データの漏えいまたは漏えいのおそれが公表されました。

不正アクセスとは: 許可されていない人が、会社のシステムに入り込むことです。

「大企業の話で、うちには関係ない」と感じるかもしれません。

しかし、保守会社やシステム会社とネットワークがつながる構図は、会社の規模を問いません。

この記事は、中小企業の経営者や、IT専門の担当者がいない会社の方に向けて書いています。

読み終わる頃には、LINEヤフーで何が起きたのか、公表されている侵入経路、そして自社で今日から確かめることが分かります。

当事者と総務省、個人情報保護委員会の公表資料をもとに整理しました。

LINEヤフーで起きたことを、数字で見るとこうなります。

LINEヤフーの不正アクセス被害を数字で見る

• 漏えいまたは漏えいのおそれがあった個人データは、約52万人分（519,506人分）
• 通信の秘密に該当する情報は、22,239件（約2万2千件）
• 不正アクセスが行われた期間は、2023年9月14日から10月27日
• 入り口は、保守を委託していた会社のパソコンのマルウェア感染。そこから別の委託先を経由して本体に届きました

数字だけを見ても、影響は利用者、取引先、従業者にまたがっています。

LINEヤフーの不正アクセスで何が起きたのか

この事案は、LINEヤフーのセキュリティ保守業務の委託先で起きたPCのマルウェア感染から始まりました。

その後、ITインフラ運用の委託先であるNAVER Cloud（NC社）のシステムを経由し、ネットワーク接続のあった旧LINE社環境（社内システム）へ不正アクセスが及びました。

マルウェアとは: コンピューターに入り込み、遠隔操作や情報の持ち出しなどに悪用される、悪意のあるプログラムのことです。

LINEユーザーの個人データだけでなく、取引先と従業者の個人データも対象になりました。

一方で、口座情報、クレジットカード情報、LINEアプリのトーク内容は含まれないと公表されています。

LINEのアカウント情報、メッセージ、通話音声、動画配信などを管理するサーバへの不正アクセスも確認されていません。

これは、一社だけを見ると守れていても、つながった先まで含めて考えなければならない事案です。

家にたとえるなら、管理会社とつながる通用口が開いたままで、そこから母屋の奥まで入られたような状態でした。

時系列で見る

検知から判定、遮断へ進んだ一方で、影響範囲の調査はその後も続きました。

同じような事案の流れは、サイバー攻撃の事例一覧でも確認できます。

不正アクセスはどうつながったのか（公表されている範囲）

起点は、委託先であるセキュリティ保守会社の従業者PCのマルウェア感染でした。

そこから別の委託先であるNC社を経由し、旧LINE社環境まで到達しました。

仕事を頼む会社のつながり（サプライチェーン）を経由した、多段の不正アクセスです。

総務省は、旧LINE社環境とNC社環境の間にネットワーク接続があり、NC社から旧LINE社環境への広いアクセスが許されていたことを要因の一つに挙げました。

ログインを確かめる仕組み（認証基盤）も共通化され、旧LINE社従業員のID・パスワードなどがNC社側で管理・保存されていました。

合いカギを一つ盗まれると、複数の部屋に入れる状態になり得ます。

総務省は、重要な社内システムで多要素認証が求められていなかったこと、不正を検知する適切な仕組みが導入されていなかったことも整理しています。

多要素認証とは: パスワードに加えて、スマホの確認コードなどもう一つの確認を求める仕組みです。

個々のシステムに入り込んだ具体的な手順は、公表資料の範囲では断定しません。

どれくらいの被害が出たのか

個人データの漏えいまたは漏えいのおそれは、最終的に約52万人分（519,506人分）でした。

2023年11月27日の初報では約44万件と公表されましたが、その後の調査で従業者分が積み増しされ、2024年2月14日の更新でこの規模になりました。

• LINEユーザーの個人データ: 302,980人分（約30万人分）。このうち日本の利用者は130,192人分です。
• 取引先の個人データ: 86,211人分（約8万6千人分）です。
• 従業者の個人データ: 130,315人分（約13万人分）です。
• 通信の秘密に該当する情報: 22,239件（約2万2千件）。このうち日本ユーザー分は8,982件です。

旧ヤフー社の情報システムは分離管理され、Yahoo! JAPANなどのサービスへの影響はなかったと個人情報保護委員会は示しています。

LINEヤフーの対応から学べること

総務省は2024年3月5日、旧LINE社が2021年4月にアクセス管理を含む行政指導を受けた後も、アクセス管理の不備を一因とする事案を招いたと指摘しました。

同省は4月16日にも2度目の指導を行っています。

個人情報保護委員会は3月28日、共通の認証基盤の共同利用と広範なネットワーク接続を続け、安全管理の責任の所在と手段が曖昧なまま大量の個人データを扱っていたとして、組織的安全管理措置（個人データを守るための社内体制づくり）の不備を認定しました。

ここから学べることは、次の3点です。

1. 接続は「あると便利」ではなく、業務に必要な最小限まで絞ることです。
2. 委託先だけでなく、再委託先まで含めて、接続・認証・点検の責任を確認することです。
3. ログ、つまり誰がいつシステムに入ったかの記録を、自社でも取得・保全できるようにすることです。

総務省は、必要情報の多くが委託先側にあり、自社で原因特定を速やかにできなかったこと自体を大きな問題と評価しました。

防御の強さは、委託先との契約書だけでは決まりません。

自分の会社を守るために、今できること

今日の3問

保守会社やIT担当者に、次の3点を聞いてください。

• 外部の保守会社や再委託先と、どのネットワークがつながっているか
• 管理者アカウントや認証の仕組みを、委託先と共通で使っていないか
• 不審な動きがあったときのログを、自社でも取得して確認できるか

まず、接続先を名前まで挙げられる状態にしてください。

後で確認する項目は5つです。

• 接続を業務に必要な最小限へ絞れているか
• 重要な社内システムに多要素認証があるか
• 従業員アカウント情報を自社で管理しているか
• 委託契約に定期評価と基準遵守の定めがあるか
• 重要な設備の再委託先まで特定できているか

自分でまず確認したい項目は、セキュリティチェックを使って整理できます。

システムの弱点を専門家が調べる検査（脆弱性診断）を外部に頼む場合の比較材料として、脆弱性診断の費用感も確認しておくとよいでしょう。

答えられない項目が1つでもあれば、今週中に保守会社へ点検を依頼してください。

参考にすべき一次情報・公的資料

まず読むならこの1本:

• LINEヤフー株式会社「当社サーバーへの不正なアクセスによる情報漏えいに関するお知らせとお詫び」 — 公表内容と更新された被害規模を確認できます。

さらに詳しく:

• 総務省「通信の秘密の保護及びサイバーセキュリティの確保の徹底について（指導）」（PDF）— 指導の背景と求められた見直しです。
• 総務省「LINEヤフー株式会社に対する通信の秘密の保護及びサイバーセキュリティの確保に係る措置（指導）」 — 指導の概要をまとめた報道資料です。
• 個人情報保護委員会「LINEヤフー株式会社に対する個人情報の保護に関する法律に基づく行政上の対応について」 — 勧告と報告等の求めを確認できます。
• LINEヤフー株式会社「2025年3月31日 総務省への報告書の提出について」 — その後の報告書提出についての発表です。