LINE公式アカウントで情報漏洩、CVE-2025-66373が関連　チャット内容など誤表示の可能性

LINEヤフーは2025年12月9日、企業・店舗向けの「LINE公式アカウント」で、ユーザー情報や企業・店舗情報が誤って表示される事象が発生し、情報漏洩を確認したと公表しました。

対象はLINE公式アカウントの「LINEチャット」と管理画面です。ユーザー同士の通常のLINEトークは対象ではありません。

原因には、LINEヤフーが利用していた外部CDNサービスの脆弱性「CVE-2025-66373」と、LINEヤフー側のデータ処理方式の組み合わせが関係していました。悪意ある攻撃者による侵害が確認された事案ではなく、バグバウンティ参加者とLINEヤフーによる発見・検証過程で情報の誤表示が発生しています。

LINE公式アカウント情報漏洩のサマリー

• LINEヤフーの公表日は2025年12月9日です。
• 対象は「LINE公式アカウント」のLINEチャットと管理画面です。
• ユーザー同士の通常のLINEトークは対象外です。
• 誤表示された、または誤表示された可能性がある情報には、内部識別子、ユーザーネーム、プロフィール画像などが含まれます。
• 企業・店舗側では管理情報、管理者プロフィール、配信メッセージに関する情報などが対象です。
• LINEチャットで企業・店舗とユーザーが送受信したテキストメッセージも対象で、画像、動画、ファイルは対象外です。
• LINEヤフーは、検証が行われた時間帯に誤表示が発生した想定確率を0.001％以下としています。
• 原因にはAkamaiのCDN脆弱性CVE-2025-66373と、LINEヤフーのデータ処理方式の違いが関係しています。
• Akamaiは2025年11月17日に全サービスへ修正を展開し、脆弱性を解消したとしています。
• LINEヤフーは2025年9月29日までに自社側の止血対応を完了し、11月17日に事象の解消を確認しました。
• 現時点で不正利用などの二次被害は確認されていません。
• 悪意ある攻撃者による実攻撃での悪用は、LINEヤフーおよびAkamaiの公表では確認されていません。

LINEチャットと管理画面で誤表示

LINEヤフーによると、影響したのは「LINE公式アカウント」のチャット機能であるLINEチャットと、LINE公式アカウントの管理画面です。

LINEチャットは企業・店舗とユーザーが1対1でやり取りする機能で、一般ユーザー同士が利用する通常のLINEトークは今回の対象ではありません。

誤って表示された、または表示された可能性のあるユーザー情報は、内部識別子、ユーザーネーム、プロフィール画像などです。

企業・店舗側では、LINE公式アカウントの管理企業・店舗情報、管理者プロフィール、配信メッセージに関する情報などが対象となりました。

さらに、LINEチャットを通じて企業・店舗とユーザー間で送受信されたテキストメッセージも対象です。一方、画像、動画、ファイルは対象外とされています。

発生条件は限定的、想定確率は0.001％以下

LINEヤフーは、情報の誤表示が発生する条件を「検証が行われた時間帯に、検証者と同じ通信経路で対象サービスを利用していた場合」と説明しています。

対象時間帯は2025年9月19日、24日、25日の一部時間帯です。LINEヤフーは、この時間帯に誤表示が発生した確率を0.001％以下と想定しています。

ただし、0.001％以下という数値は「漏洩件数」ではありません。公表資料では、実際に何人・何件の情報が表示されたかという総件数は示されていません。

CVE-2025-66373はAkamai CDNのHTTP Request Smuggling脆弱性

関連するCVE-2025-66373は、AkamaiのCDNエッジサーバーにおけるHTTPリクエスト処理の不整合に関する脆弱性です。

Akamaiによると、不正なchunked bodyを含むHTTPリクエストを処理した際、特定条件下で余分なバイト列をオリジンサーバーへ転送し、HTTP Request Smugglingにつながる可能性がありました。

実際に悪用可能かどうかは、オリジンサーバー側が不正なリクエストをどう処理するかにも依存します。

NVDでは2026年8月24日時点でNIST独自のCVSSスコアは付与されていません。一方、CISA-ADPのCVSS v3.1スコアとして4.8（Medium）が表示されています。

Akamaiは2025年9月18日に問題を認識し、11月17日に全Akamaiサービスへ修正を展開して脆弱性を解消したとしています。Akamaiの顧客側で追加の修正作業は不要としています。

バグバウンティの検証過程で漏洩が発生

今回の事案は、外部の攻撃者がLINE公式アカウントを侵害して情報を窃取したと確認されたものではありません。

2025年9月19日、LINE Security Bug Bounty Programの参加者からLINEヤフーへ事象が通知され、その後の参加者およびLINEヤフーによる発見・検証過程で、情報が誤表示される漏洩が発生しました。

LINEヤフーは9月25日に止血対応を開始し、9月29日に自社側の止血を完了。10月31日には漏洩が確認されていない経路にも予防措置を実施し、11月17日にAkamai側の修正完了を受けて事象の解消を確認しました。

CVEが12月4日に公開され、ゼロデイ攻撃の懸念が解消されたとして、LINEヤフーは12月9日に事案を公表しています。

なお、LINEヤフーは、バグバウンティ制度ではサービスや他ユーザーへ影響を及ぼすおそれのある検証を禁止していたものの、今回の検証方法がその禁止事項に該当したとして、2025年12月3日に新規報告の受付を一時停止しました。

不正利用などの二次被害は確認されず

LINEヤフーによると、今回の事象はすでに解消しており、不正利用などの二次被害は確認されていません。

事象を確認した報告者が取得した情報についても、削除済みとされています。

一方、LINEヤフーは対象時間帯に見覚えのない画面やメッセージを受信して保存していた場合は破棄するよう求めています。また、不審なメールなどへの注意も呼びかけています。

情報システム部門への示唆

今回の事案は、自社アプリケーションのコードだけを管理していても、利用しているCDNやクラウド、外部ライブラリなどの挙動との組み合わせで情報漏洩が発生し得ることを示しています。

特に、CDNやリバースプロキシを利用するWebサービスでは、エッジ側とオリジン側でHTTPリクエストの解釈が一致しているか、異常なリクエストをどの層で拒否するかを設計段階から確認する必要があります。

また、バグバウンティを運用する企業では、検証者に許可する行為と禁止する行為を定めるだけでなく、実サービス上で他ユーザーのデータに影響する検証を安全な環境へ誘導できる仕組みも重要です。

LINE公式アカウントを利用する企業側では、顧客とのチャットに機微情報を過度に残さない運用、不要な履歴の保持を避ける方針、サービス側インシデント発生時に顧客へ通知する手順をあらかじめ整備しておく必要があります。

LINEで発生した他の情報漏洩・データ管理事案は「LINEの情報漏洩・データ管理問題まとめ」で時系列に整理しています。

出典

• 「LINE公式アカウント」誤表示による情報漏えいのお知らせとお詫び – LINEヤフー
• CVE-2025-66373: HTTP Request Smuggling Due to Invalid Chunked Body Size – Akamai
• CVE-2025-66373 – NVD
• LINEで発生した個人情報漏洩と流出のまとめ – セキュリティ対策Lab

関連記事

新マルウェア「SynkLoader」、Microsoft TeamsでITヘルプデスクになりすまし　偽ロック画面で認証情報窃取を狙う イギリス政府、ハッカーやランサムウェア グループへの身代金 支払いの禁止を発表 FortinetのFortiSOAR / FortiWebに新たな認証関連の脆弱性(CVE-2025-59808／CVE-2025-64471) 伊予銀行、アンケートの情報流出、ローレルバンクマシンのJijillaへの不正アクセスが原因 共立メンテナンス、フィッシングメールで不正アクセス、 入居者・取引先等の個人情報流出の恐れ SonicWall「SMA1000」シリーズに深刻なSSRF 脆弱性(CVE-2025-40595) 中小企業のセキュリティ対策、7割が基本的な対策を実施も課題残る-IPA調査 Microsoft Edgeに深刻な2件の脆弱性(CVE-2025-6554,CVE-2025-49713) Cisco ISEに高深刻度のDoS 脆弱性（CVE-2025-20343）

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)