LINEの情報漏洩・情報管理問題まとめ【2026年最新】主要インシデントと再発防止策を時系列で整理|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2024年12月23日更新日時: 2026年08月24日

LINEでは、2023年の不正アクセスによる大規模な情報漏洩以降も、アルバム画像の誤表示、LINE公式アカウントでの情報漏洩、パスワード処理の不具合、LINE GAMEの内部識別子の外部送信など、データの取扱いに関する複数の事案が公表されています。

ただし、これらをすべて「個人情報漏洩」と一括りにするのは正確ではありません。不正アクセスによって個人データが漏洩した事案、システム不具合で他ユーザーの情報が誤表示された事案、必要のない内部識別子が外部ツールへ送信された事案、第三者への情報漏洩は確認されていない不具合など、性質はそれぞれ異なります。

本記事では、LINEおよびLINEヤフーが公表した主要な情報漏洩・データ管理インシデントを、確認済みの事実と影響範囲を分けて整理します。

LINEの情報漏洩・データ管理問題のサマリー

2021年には、中国の委託先企業による不正アクセス問題が発覚しました。中国の業務委託先企業に所属するエンジニアが、日本国内のサーバーに保存されたユーザーの個人情報へアクセスできる状態にあり、権限管理・監査体制が問題となりました。
2023年には、委託先企業の従業者PCのマルウェア感染を契機にLINEヤフーのシステムが不正アクセスを受けました。
2023年の事案では、ユーザー、取引先、従業者等を合わせ、漏洩のおそれを含む約52万人分の個人データが対象となりました。
LINEユーザーの個人データは302,980件で、このうち49,751件は推計値として「漏洩のおそれ」に含まれています。LINEアプリのトーク内容、口座情報、クレジットカード情報は対象に含まれていません。
2024年11月にはLINEアルバムの不具合で、他ユーザーのサムネイル画像が誤表示されました。自分の画像が他ユーザー側に表示されたユーザーは海外を含め約13.5万人と推定されています。
2025年9月にはLINE公式アカウントで、外部CDNの脆弱性とデータ処理方式の組み合わせにより、ユーザー情報や企業・店舗情報、LINEチャットのメッセージが誤表示される事象が発生しました。
LINE公式アカウントの事案は、悪意ある攻撃者による侵害が確認されたものではなく、バグバウンティ参加者とLINEヤフーによる検証過程で発生した漏洩を含む事案です。
2025年4月から2026年4月には、LYPプレミアムのプレミアムバックアップ利用開始時、誤入力したパスワードが意図せず更新される不具合がありました。第三者へのパスワードやバックアップデータの漏洩は確認されていません。
2026年7月、LINE GAMEの3タイトルで、約710万件の内部識別子が外部広告ツールへ送信されていたことが公表されました。ユニークユーザーでは約610万人です。
LINE GAMEの事案で送信された情報に氏名、住所、電話番号、銀行口座、クレジットカード番号は含まれず、ツール提供企業による不正利用も確認されていません。
2026年7月にはLINE広告等で、個人情報保護法上保存すべき第三者提供記録の一部が2022年12月から2026年6月まで削除されていたことも公表されました。この事案でデータ漏洩は発生していません。
2023年の不正アクセスを受けた再発防止策について、LINEヤフーは2026年7月15日に総務省と個人情報保護委員会へ最終報告を行い、7月21日に受領されたと公表しました。

時期	事案	性質	主な影響
2018年8月〜2021年2月	中国委託先エンジニアが国内サーバーに不正アクセス	委託先管理・アクセス権限	影響件数は非公表
2023年9月〜10月	LINEヤフーへの不正アクセス	不正アクセス・情報漏洩	漏洩のおそれを含む約52万人分
2024年11月	LINEアルバムのサムネイル誤表示	システム不具合・誤表示	自分の画像が他者側に表示されたユーザーは海外含む約13.5万人と推定
2025年9月	LINE公式アカウントの情報誤表示	CDN脆弱性と処理方式に起因する漏洩	ユーザー情報、企業・店舗情報、LINEチャットのテキスト等
2025年4月〜2026年4月	LYPプレミアムのパスワード不具合	認証・更新処理の不具合	第三者への情報漏洩は確認されず
2022年5月〜2026年4月	LINE GAME内部識別子の外部送信	不要なデータ外部送信	約710万件、ユニーク約610万人
2022年12月〜2026年6月	LINE広告等の第三者提供記録を誤削除	法定記録の管理不備	データ漏洩は発生せず
2026年7月	2023年事案の再発防止策を最終報告	行政対応	総務省・個人情報保護委員会が受領

LINE 中国委託先による不正アクセス（2018〜2021年）

2021年3月、LINEの中国の業務委託先企業に所属するエンジニア4人が、2018年8月から2021年2月にかけて、日本国内のサーバーに保存されたユーザーの個人情報にアクセスできる状態だったことが発覚しました。

アクセス可能だった情報には、氏名・電話番号・メールアドレスに加え、「トーク」機能内のメッセージや、ユーザーが保存した画像も含まれていました。日本国内のユーザーデータに対する権限管理・監査が実質的に機能していなかった点が問題となりました。

LINEは中国の業務委託先にシステムのメンテナンス業務などを委託しており、業務に必要な範囲でアクセス権限を付与していたと説明しています。委託先管理では、アクセス可能なデータの範囲を必要最小限に絞ることに加え、アクセスログを継続的に監査する体制が重要です。

2023年の不正アクセスでは約52万人分が漏洩等の対象に

LINEヤフーが2023年11月27日に公表し、2024年2月14日に最終調査結果を更新した不正アクセス事案では、委託先企業の従業者が使用するPCのマルウェア感染が契機となりました。

LINEヤフーによると、2023年9月14日に社内システムへの不正アクセスが始まり、その後、NAVER Cloudと旧LINEの環境で共通していた認証基盤やネットワーク接続を介して第三者がLINEヤフーのシステムへアクセスしました。

個人情報保護委員会は、漏洩のおそれを含む個人データを約52万人分と整理しています。内訳はLINEユーザー302,980人分、取引先86,211人分、従業者130,315人分です。

LINEユーザー302,980人分のうち、漏洩が確認されたものは253,229人分、漏洩のおそれがあるものは49,751人分でした。対象にはLINEユーザー内部識別子にひもづくサービス利用履歴などが含まれましたが、LINEアプリのトーク内容、銀行口座情報、クレジットカード情報は含まれていないとされています。

個人情報保護委員会は2024年3月28日、組織的安全管理措置の不備などについてLINEヤフーへ勧告しました。総務省も同年3月5日と4月16日に行政指導を行っています。

2024年にはLINEアルバムで他ユーザーの画像が誤表示

2024年11月28日、LINEアルバムのサムネイル画像を作成するシステムのアップデート後、一部ユーザーの画面に他ユーザーの画像が混在したサムネイルが表示される不具合が発生しました。

LINEヤフーによると、投稿から35日以上経過した画像を圧縮し、サムネイルへ変換する処理でアクセスが集中した際、画像データが混在したことが原因です。アルバム内の元画像や、アルバム以外のサービスの画像には影響しなかったとしています。

自分のアルバムのサムネイルが他ユーザー側に表示されたユーザーは、日本国内約7万人、海外を含め約13.5万人と推定されました。一方、他ユーザーのサムネイルが自分の画面に表示されたユーザーは国内約5.5万人、海外を含め約11.4万人と推定されています。

正確な対象者を特定できるログが残っていなかったため、これらは実測件数ではなく推定値です。

総務省は2025年3月28日、この不具合についてLINEヤフーへ行政指導を行いました。

2025年にはLINE公式アカウントで情報漏洩

2025年12月9日、LINEヤフーは「LINE公式アカウント」のLINEチャットと管理画面で、ユーザー情報や企業・店舗情報が誤表示される事象が発生したと公表しました。

原因には、LINEヤフーが利用していた外部CDNの脆弱性「CVE-2025-66373」と、LINEヤフー側のデータ処理方式の違いが関係していました。

誤って表示された、または表示された可能性のある情報には、ユーザーの内部識別子、ユーザーネーム、プロフィール画像、企業・店舗の管理情報、管理者プロフィール、配信メッセージ情報のほか、LINE公式アカウントとユーザー間の「LINEチャット」で送受信されたテキストメッセージが含まれます。画像、動画、ファイルは対象外です。

この事案はバグバウンティ参加者からの報告を契機に調査されたもので、悪意ある攻撃者による侵害が確認されたとは公表されていません。LINEヤフーは、検証が行われた時間帯に誤表示が発生した想定確率を0.001％以下としています。

詳細は「LINEの公式アカウントで情報漏洩」の個別記事で整理しています。

2026年のパスワード不具合は「情報漏洩」ではない

LINEヤフーは2026年4月21日、LYPプレミアムのプレミアムバックアップ利用開始時に、LINEアカウントのパスワード確認画面へ誤ったパスワードを入力すると、画面上は認証失敗と表示される一方、システム上では誤入力した値へパスワードが更新されるケースがあったと公表しました。

不具合は2025年4月17日から2026年4月2日まで発生していました。

パスワードと連動するプレミアムバックアップ用の「マスターキー」も同時に更新される状態でしたが、LINEヤフーはパスワードやバックアップデータが第三者に漏洩・露出した事実は確認していません。

このため、本件を「LINEのパスワード漏洩」と表現するのは正確ではありません。影響の中心は、利用者が認識しているパスワードと実際の設定値が一致しなくなることや、機種変更時にバックアップを復元できなくなる可能性です。

LINE GAMEでは約710万件の内部識別子を外部ツールへ送信

2026年7月13日、LINEヤフーは「LINE ポコポコ」「LINE ポコパンタウン」「LINE ポコパン」で、ユーザーの内部識別子がパートナー企業の利用する外部広告ツールへ送信されていたと公表しました。

対象は内部識別子ベースで約710万件、日本国内では約666万件です。ユニークユーザー数は約610万人、日本国内では約574万人でした。

送信は2022年5月25日から発生しており、2026年4月1日に判明、4月3日までに修正されました。原因は外部ツールの設定変更時に、LINEヤフーとパートナー企業で設定確認が不十分だったこととされています。

送信された情報に氏名、住所、電話番号、銀行口座、クレジットカード番号は含まれていません。ツール提供企業は該当情報を削除しており、不正利用も確認されていないとLINEヤフーは説明しています。

LINE広告等では法令上必要な記録を約3年半分削除

2026年7月24日には、「LINE広告」「LINE公式アカウント」「ビジネスマネージャー」などに関連して、個人情報保護法上保存すべき記録の一部が削除されていたことも公表されました。

削除されていたのは2022年12月15日から2026年6月9日分の記録です。記録にはLINEユーザーの内部識別子、企業の内部識別子、企業側がアップロードしたデータ項目、登録日時などが含まれていました。

ただし、この事案ではデータの不正利用や漏洩は発生していません。問題となったのは、第三者提供記録の開示請求を受けた際に、ユーザー自身がどの企業のアップロードデータと合致したかを示す履歴が不完全となる可能性がある点です。

情報漏洩とデータ管理上の法令対応不備は分けて評価する必要があります。

2023年不正アクセスの再発防止策は2026年7月に最終報告

LINEヤフーは2026年7月21日、2023年の不正アクセスを受けて進めてきた再発防止策について、同年7月15日に総務省と個人情報保護委員会へ最終報告を行い、受領されたと公表しました。

同社が公開している実施結果では、NAVERおよびNAVER Cloudとの不要な通信の遮断、認証基盤の分離、委託先管理の見直し、リスク評価の仕組み整備などが進められています。

ただし、「最終報告が受領された」ことと、将来のインシデントが起きないことや、監督当局が安全性を保証したことは同義ではありません。情報システム部門が外部サービスを評価する際は、過去の事故件数だけでなく、事故後にどのような技術的・組織的な是正が行われたかを見る必要があります。

情報システム部門への示唆

LINE関連の事案から読み取れるのは、サイバー攻撃対策だけでは十分ではないという点です。

2023年の不正アクセスでは委託先管理、認証基盤、ネットワーク分離が問題となりました。一方、2024年のアルバムや2026年のパスワード事案はアプリケーションの変更管理やテスト、2025年のLINE公式アカウント事案は外部CDNを含む依存サービス、2026年のLINE GAMEと広告記録の事案はデータフローと法定記録の管理が論点です。

企業がLINE公式アカウントやLINE連携サービスを業務利用する場合も、サービス提供者側のセキュリティだけに依存せず、顧客とのチャットに機微情報を書き込ませない運用、管理者アカウントの権限管理、委託先・SaaS・広告ツールを含むデータフローの把握、インシデント時の利用者通知手順を整備しておくことが重要です。