LINEヤフー、2023年不正アクセスの再発防止策を最終報告　総務省・個人情報保護委員会が受領

LINEヤフーは2026年7月21日、2023年に発生した不正アクセスによる情報漏洩を受けて進めてきた再発防止策について、総務省と個人情報保護委員会への最終報告を完了したと公表しました。

最終報告は2026年7月15日に行われ、両当局に受領されたとしています。

2023年の事案では、委託先企業の従業者PCがマルウェアに感染したことを契機にLINEヤフーのシステムへ不正アクセスが発生し、漏洩のおそれを含む約52万人分の個人データが対象となりました。その後、総務省が行政指導、個人情報保護委員会が勧告を行い、認証基盤やネットワーク構成、委託先管理などの見直しが進められていました。

再発防止策の最終報告のサマリー

• LINEヤフーは2026年7月15日、総務省と個人情報保護委員会へ再発防止策の最終報告を行いました。
• LINEヤフーは7月21日、両当局に報告が受領されたと公表しました。
• 対象となるのは、2023年11月27日に公表された不正アクセスによる情報漏洩事案です。
• 2023年の事案では、漏洩のおそれを含む約52万人分の個人データが対象となりました。
• 不正アクセスの契機は、LINEヤフーとNAVER Cloud双方の委託先でもある企業の従業者PCのマルウェア感染でした。
• 個人情報保護委員会は2024年3月28日、組織的安全管理措置の不備などについて勧告しました。
• 総務省は2024年3月5日と4月16日にLINEヤフーへ行政指導を行いました。
• 再発防止策にはNAVERおよびNAVER Cloudとの不要な通信の遮断、認証基盤の分離、システム分離、委託先管理の見直しなどが含まれます。
• LINEヤフーが公開する実施結果では、主要施策について「完了」としています。
• 最終報告の「受領」は、当局が将来の安全性を保証したことを意味するものではありません。
• 2026年7月時点で、LINEヤフーは再発防止策の実施状況を特設ページで公開しています。

項目	内容
公表日	2026年7月21日
最終報告日	2026年7月15日
対象組織	LINEヤフー
対象事案	2023年の不正アクセスによる情報漏洩
漏洩・漏洩のおそれ	約52万人分の個人データ
主な行政対応	総務省の行政指導、個人情報保護委員会の勧告
主な是正項目	ネットワーク分離、認証基盤分離、委託先管理、リスク管理、インシデント対応
報告先	総務省、個人情報保護委員会
対応状況	LINEヤフーは最終報告を実施し、両当局に受領されたと公表

発端は2023年の不正アクセスと約52万人分の個人データ

LINEヤフーが2023年11月27日に公表した事案は、同社関係会社であるNAVER Cloudの委託先であり、LINEヤフーの委託先でもある企業の従業者PCがマルウェアに感染したことが契機でした。

LINEヤフーの最終調査では、2023年9月14日に社内システムへの不正アクセスが始まり、その後、NAVER Cloudと旧LINEの環境で利用されていた認証基盤やネットワーク接続を介してLINEヤフーのシステムへ不正アクセスが行われました。

個人情報保護委員会は、漏洩のおそれを含む個人データを約52万人分と整理しています。

LINEユーザーに関する個人データは302,980人分で、そのうち253,229人分は漏洩が確認され、49,751人分は漏洩のおそれがあるものとして整理されました。

取引先では86,211人分、従業者では130,315人分の個人データが対象です。

個人情報保護委員会は組織的安全管理措置の不備を指摘

個人情報保護委員会は2024年3月28日、LINEヤフーに対して個人情報保護法に基づく勧告を行いました。

主な論点の一つは、NAVER Cloudとの共通認証基盤や広範なネットワーク接続を利用する構成について、安全管理上のリスクを十分に把握・評価し、継続的に見直す組織体制が不十分だった点です。

同委員会は、安全管理措置の評価・見直し、漏洩等事案への対応体制、アクセス者の識別・認証、委託先管理などの改善を求めました。

総務省も2024年3月5日と4月16日に行政指導を実施しています。

認証基盤とネットワークの分離を進める

LINEヤフーが公開している再発防止策では、NAVERおよびNAVER Cloudとのシステム・ネットワーク関係を見直しています。

ネットワーク面では、ファイアウォールの設置や不要な通信の遮断を実施しました。サーバー・データの国内移転に伴いファイアウォールポリシーを見直し、不要な設定を削除する運用も進めています。

認証基盤についても、NAVERグループと認証基盤や認証情報を共通化している状態を解消する取り組みを実施しました。

2025年4月30日の個人情報保護委員会の取りまとめでは、LINEヤフー本体の認証基盤やシステムの分離は概ね完了し、国内外の子会社についても計画どおり進んでいると評価されていました。

2026年7月21日に更新されたLINEヤフーの特設ページでは、関連する再発防止策の実施結果がまとめられています。

委託先管理も契約前のリスク評価へ

2023年の事案では、外部委託先の端末感染が侵入の契機となったことから、委託先管理も重点項目になりました。

LINEヤフーは、委託先を評価する「サプライヤ評価」と、業務委託の案件自体が適切かを確認する「案件リスク評価」を導入しています。

同社が公開している実施結果によると、これらの評価を終了しなければ委託契約の締結や案件の発注を行えない仕組みとしています。

サプライチェーンのセキュリティでは、契約書上のセキュリティ条項だけでなく、委託開始前のリスク評価、委託中の監督、契約終了後のアクセス権削除までを一連の統制として設計する必要があります。

2026年7月に最終報告、両当局が受領

LINEヤフーは2026年7月15日、総務省と個人情報保護委員会へ再発防止策の進捗に関する最終報告を行いました。

7月21日の公表では、両当局に報告が受領されたとしています。

ここで注意したいのは、「最終報告を受領した」という事実と、「当局がLINEヤフーのセキュリティを全面的に認定・保証した」という解釈は別だという点です。

公表資料から確認できるのは、LINEヤフーが再発防止策を実施し、その実施状況を最終報告したこと、総務省と個人情報保護委員会がその報告を受領したことまでです。

2026年にも別のデータ管理事案は発生

2023年の不正アクセスに対する再発防止策が進められる一方、LINEヤフーでは2026年にも別種のデータ管理事案が公表されています。

4月にはLYPプレミアムのプレミアムバックアップ利用開始時に、誤入力したパスワードが意図せず更新される不具合が公表されました。

7月13日にはLINE GAMEの内部識別子約710万件が外部広告ツールへ送信されていた事案、7月24日にはLINE広告等で法令上保存すべき記録が削除されていた事案が公表されています。

これらは2023年の不正アクセスとは原因も影響も異なり、2023年の再発防止策が失敗したと直ちに評価できるものではありません。一方で、セキュリティガバナンスを評価する際には、不正アクセス対策に加えて、開発工程、データフロー、委託先、法定記録の管理を含めた継続的な統制が必要です。

LINEで発生した主要事案は「LINEの情報漏洩・データ管理問題まとめ」で整理しています。

情報システム部門への示唆

今回の再発防止策で参考になるのは、事故後の対応を「パスワード変更」や「監視強化」だけで終わらせず、認証基盤、ネットワーク接続、委託関係、リスク評価プロセスまで見直している点です。

特にグループ会社や海外拠点、外部ベンダーと認証基盤を共有している企業では、ひとつの環境で認証情報が侵害された場合に、どこまで横展開できるかを確認する必要があります。

また、委託先評価は契約時のチェックシートだけでなく、重要度に応じた継続監査、アクセス権の棚卸し、インシデント報告義務、再委託先の把握を含めるべきです。

大規模インシデント後の再発防止策は、施策を「導入したか」だけでなく、運用され続けているか、例外設定が増えていないか、実際のインシデント演習で機能するかまで確認することが重要です。

出典

• 不正アクセスによる、情報漏えいに関するお知らせとお詫び（2024/2/14更新） – LINEヤフー
• LINEヤフー株式会社に対する個人情報の保護に関する法律に基づく行政上の対応について – 個人情報保護委員会
• LINEヤフー株式会社への勧告等に対する改善状況の概要及び同社への対応方針について – 個人情報保護委員会
• 不正アクセスによる情報漏えいへの再発防止策に関する報告完了のお知らせ – LINEヤフー
• 不正アクセスによる情報漏えいへの再発防止策及び実施結果 – LINEヤフー
• 個人情報保護委員会からの勧告及び報告等の求めを踏まえた再発防止策及び実施結果 – LINEヤフー
• 総務省からの行政指導を踏まえた再発防止策及び実施結果 – LINEヤフー
• LINEで発生した個人情報漏洩と流出のまとめ – セキュリティ対策Lab