LINEのパスワードが誤入力で上書きされる不具合—約1年間気づかず放置、設計上の根本的な問題も

LINEヤフーは2026年4月21日、LYPプレミアムの「プレミアムバックアップ」利用開始時に、LINEアカウントのパスワード確認画面で誤入力した場合、画面上は「認証失敗」と表示される一方、システム上では誤入力したパスワードへ更新されるケースがあったと公表しました。

不具合は2025年4月17日から2026年4月2日まで発生していました。プレミアムバックアップの復元に必要な「マスターキー」もパスワードと連動して更新される状態でした。

LINEヤフーは、パスワードやプレミアムバックアップのデータが第三者へ漏洩・露出した事実は確認していません。本件は「パスワード漏洩」ではなく、認証処理と更新処理の不具合として整理する必要があります。

LINEパスワード不具合のサマリー

• LINEヤフーの公表日は2026年4月21日です。
• 不具合の発生期間は2025年4月17日から2026年4月2日までです。
• 対象はLYPプレミアムのプレミアムバックアップ利用開始時です。
• LINEアカウントのパスワード確認画面で誤入力すると、画面上は認証失敗と表示されても、システム上では誤入力値へ更新されるケースがありました。
• プレミアムバックアップの復元に必要なマスターキーも連動して更新される状態でした。
• LINEヤフーは2026年4月2日に修正を完了しています。
• 2026年4月24日の追記で、不具合はLINEにログイン中の本人がパスワードを再入力する際に発生するもので、第三者が他人のLINEアカウントのパスワードを意図的に変更することはできないと説明しています。
• パスワードやプレミアムバックアップのデータが第三者へ漏洩・露出した事実は確認されていません。
• 影響を受けた場合、利用者が認識しているパスワードでは認証に成功しない可能性があります。
• パスワードを再設定しないまま機種変更すると、プレミアムバックアップからデータを復元できない可能性があります。
• LINEヤフーは影響を受けた可能性がある利用者へ個別に案内しています。
• 影響件数は公表資料で確認できませんでした。

項目	内容
公表日	2026年4月21日
発生期間	2025年4月17日〜2026年4月2日
対象サービス	LYPプレミアム「プレミアムバックアップ」
インシデント	誤入力したパスワードがシステム上で更新される不具合
影響情報	LINEアカウントのパスワード、マスターキー
対象件数	公表資料では確認できませんでした
情報漏洩	第三者への漏洩・露出は確認されていません
第三者によるパスワード変更	本不具合を利用して他人のパスワードを意図的に変更することはできないと説明
修正日	2026年4月2日
ユーザー対応	対象者はログイン中の端末からパスワード再設定を推奨
個人情報保護委員会への報告	公表資料では確認できませんでした

認証失敗と表示されてもパスワードが更新

問題が発生したのは、LYPプレミアムのプレミアムバックアップ利用開始時に表示されるLINEアカウントのパスワード確認画面です。

通常、入力されたパスワードが正しくなければ認証を失敗させ、そのまま処理を終了する必要があります。

しかし今回の不具合では、一部条件下で入力したパスワードが正しくない場合でも、画面上は認証失敗と表示されながら、システム上では入力された値を使った更新処理が進んでいました。

結果として、ユーザー本人が認識しているパスワードと、システム上に保存されたパスワードが一致しなくなる可能性がありました。

マスターキーも同時に更新

不具合の影響はLINEアカウントのパスワードだけではありません。

プレミアムバックアップの復元に必要な「マスターキー」も、パスワードと連動して更新される状態でした。

LINEヤフーによると、マスターキーはシステム上で管理・運用されているもので、ユーザー自身が設定・更新するものではありません。

このため、不具合の影響を受けた状態のまま機種変更やデータ移行を行うと、プレミアムバックアップからデータを復元できない可能性があります。

第三者へのパスワード漏洩は確認されず

今回の事案で特に区別すべきなのが、「パスワードが意図せず変更されたこと」と「パスワードが第三者へ漏洩したこと」です。

LINEヤフーは、今回の不具合によってユーザーのパスワードやプレミアムバックアップのデータが第三者へ漏洩・露出した事実は確認されていないと説明しています。

また、2026年4月24日の追記では、この不具合はLINEにログインしているユーザー本人がパスワードを再入力した際に発生するもので、第三者が本不具合を使って他人のLINEアカウントのパスワードを意図的に変更することはできないとしています。

したがって、「LINEのパスワードが漏洩した」「第三者が任意にパスワードを書き換えられた」といった表現は、現時点の公式情報とは一致しません。

不具合は約1年間継続

不具合が発生していた期間は2025年4月17日から2026年4月2日までです。

LINEヤフーは2026年4月2日に修正を完了し、4月21日に公表しました。

公表資料では、何人のユーザーが実際に誤ったパスワードへ更新されたかという対象件数は示されていません。

現在LINEアカウントを利用しており、影響を受けた可能性があるユーザーには、「LYPプレミアムお知らせ」のLINE公式アカウントを通じて個別に通知しています。

対象ユーザーはログイン中の端末からパスワード再設定を

LINEヤフーは、2025年4月17日から2026年4月2日の間に、LYPプレミアムのプレミアムバックアップ利用開始時にパスワードを入力したユーザーへ、パスワードの再設定を求めています。

重要なのは、現在LINEへログインしている端末から変更することです。

ログイン済みであれば、現在システム上に設定されているパスワードが分からない場合でも変更できます。

特に機種変更やデータ移行を予定している場合は、移行前に現在利用している端末からパスワードを変更する必要があります。ログイン中の端末にはプレミアムバックアップ復元に必要な情報が保持されており、事前に変更しないと復元できなくなる可能性があるためです。

技術的な問題点：「認証失敗」と「更新処理」が矛盾している設計

今回の不具合は単純なバグというよりも、認証処理と更新処理の責任分離が適切に設計されていなかったことに起因します。

認証確認のフロー設計において正常であれば、パスワード確認画面での入力値が「現在のパスワードと一致するか」を検証し、一致する場合のみ次のステップに進みます。一致しない場合は即時エラーを返し、以降の処理は一切実行しないことが基本設計です。

しかし今回は、検証結果として「失敗」を画面に返しながら、バックエンドのシステムでは入力値を使った「更新処理」が走るという表示と処理の矛盾が発生していました。これは認証レイヤーと更新処理レイヤーが適切に分離されておらず、認証の成否にかかわらず入力値をそのまま更新関数に渡す実装になっていたことを意味します。

認証確認フォームにおいて「認証失敗」の場合でも更新系の副作用が起きるということは、セキュリティの基本原則である「認証と処理の明確な分離」が実装レベルで守られていなかったと言わざるを得ません。加えて、パスワードのような機密性の高い情報の更新処理に対して、バックグラウンドでの不整合を検知する監視・テストが約1年間機能していなかった点も問題です。

情報システム部門への示唆

自社サービスでも、認証画面とデータ更新処理が別コンポーネントになっている場合は同様の不整合が起こり得ます。

確認すべきなのは、フロント画面の表示だけではありません。APIやバックエンドの状態遷移まで含め、認証失敗時に永続データが変更されていないかをテストする必要があります。

また、バックアップや暗号化サービスでは、パスワード変更が復旧キーや暗号鍵にどのように影響するかを設計書と運用手順の両方で管理することが重要です。

アカウント復旧や端末移行は通常利用時には発生頻度が低いため、問題が長期間潜在化しやすい領域です。リリース時だけでなく、定期的な復旧テストや移行テストを実施しておく必要があります。

LINEで発生した他の情報漏洩・データ管理事案は「LINEの情報漏洩・データ管理問題まとめ」で整理しています。

出典

• 一部のLINEアカウントのパスワード等の不具合に関するお知らせとお詫び – LINEヤフー
• LINEで発生した個人情報漏洩と流出のまとめ – セキュリティ対策Lab