総務省、LINEヤフーに厳重注意 LINE GAME利用者識別子約803万件を無断で外部送信|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月03日更新日時: 2026年08月03日

総務省は2026年7月31日、LINEヤフー株式会社に対し、特定利用者情報の保護と外部送信規律の遵守に向けた措置を求める行政指導を行いました。対象はLINE GAMEの「LINE ポコポコ」「LINE ポコパンタウン」「LINE ポコパン」で、業務提携先であるTreenod Inc.が、LINEヤフーの承認を得ず、利用者への通知等もないまま、利用者識別子を第三者の情報分析サービス会社へ送信していたというものです。

LINEヤフーは7月13日の時点で内部識別子の外部送信を公表していましたが、総務省の指導文書では、単なる広告ツールの設定確認ミスにとどまらず、特定利用者情報の理解不足、業務提携先の管理監督、アプリ審査、外部送信規律への対応という複数の問題が指摘されています。過去に当サイトで整理したLINEで発生した個人情報漏洩と流出のまとめ〖2026年最新〗と照らしても、LINEヤフーでは委託先・提携先管理と技術審査の課題が繰り返し表面化しています。

総務省、LINEヤフーに厳重注意の概要サマリー

総務省は2026年7月31日、LINEヤフーに対し、電気通信事業法に基づき厳重注意の行政指導を実施
LINE GAMEの3アプリで、利用者識別子であるMIDなど約803万件が、利用者への通知等なく第三者へ送信されていた
対象期間は2022年5月25日から2026年4月3日までの約4年間で、日本国内利用者分は約752万件
LINEヤフーの7月13日公表では約710万件、ユニークユーザー約610万人と説明されていたが、総務省の約803万件はゲスト利用分約93万件を含む数字とみられる
総務省は、業務提携先Treenod Inc.の管理監督方法とアプリの技術的審査方法に不備があったと判断
LINEヤフーは、外部ツール提供企業による不正利用や二次被害は確認されていないとしている
本稿執筆時点で、今回事案について個人情報保護委員会への報告や同委員会による行政対応が公表された事実は確認できない
情報システム部門では、SDK・広告分析ツール・委託先開発アプリの外部送信棚卸しが急務になる

インシデント整理表

項目	内容
公表日	2026年7月13日 LINEヤフーが外部送信を公表。2026年7月31日総務省が行政指導を公表
被害企業	LINEヤフー株式会社
対象サービス	LINE GAME「LINE ポコポコ」「LINE ポコパンタウン」「LINE ポコパン」
関係する業務提携先	Treenod Inc.
漏洩情報の内容	特定利用者情報である利用者識別子 MID、およびその他の利用者識別子
影響件数	総務省文書では約803万件、うち日本国内利用者分は約752万件
LINEヤフー公表の内訳	内部識別子ベースで約710万件、うち日本国内約666万件。ユニークユーザー数は約610万人、うち日本国内約574万人
ゲスト利用分	ユーザー個人を特定できない状態で送信されていた件数として約93万件、うち日本国内約86万件
発生期間	2022年5月25日から2026年4月3日まで。LINE ポコパンはサービス終了日の2025年6月11日まで
発覚日	2026年4月1日
修正日	2026年4月3日
原因	外部広告ツールの設定変更時の確認不足に加え、業務提携先による特定利用者情報の認識不足、LINEヤフー側の技術審査不足
法令上の論点	電気通信事業法第27条の5の趣旨への抵触、同法第27条の12の外部送信規律違反
対応状況	外部送信は停止済み。LINEヤフーは対象ユーザーへ順次個別通知を実施。総務省は1年間、四半期ごとの実施状況報告を求めている
二次被害	LINEヤフーは、情報分析サービス会社での不正利用や二次被害の報告はないとしている
個人情報保護委員会への報告状況	本稿執筆時点で、今回のLINE GAME内部識別子外部送信について、個人情報保護委員会への報告や同委員会による行政対応の公表は確認できない

何が起きたか

今回の事案では、LINE GAMEの開発・運用を担うTreenod Inc.が、広告分析に用いる目的で、LINEヤフーの承認を得ず、利用者への通知等も行わないまま、利用者端末から第三者である情報分析サービス会社へ利用者識別子を送信していました。

送信されていたのは、総務省文書で特定利用者情報とされたMIDと、その他の利用者識別子です。LINEヤフーは7月13日の公表で、対象となった内部識別子について、システム上でユーザー個人を識別するためのランダムな文字列であり、友だち追加などに使われるLINE IDとは異なると説明しています。氏名、住所、電話番号、銀行口座、クレジットカード番号は含まれていないとしています。

ただし、総務省は、この識別子が直ちに個人を特定できる情報ではないとしても、他の情報と照合することで個人を特定しうる可能性がある情報だと指摘しています。ここが本件の重要な点です。氏名やメールアドレスが含まれていないから軽微、という整理ではなく、LINE関連サービスで共通的に使われる識別子が長期間にわたり外部へ送られていたことが問題視されています。

総務省が問題視した点

総務省の指導文書では、大きく2つの法令上の問題が示されています。

1つ目は、特定利用者情報の適切な管理です。LINEヤフーは、電気通信事業法第27条の5に基づき、特定利用者情報を適正に取り扱うべき電気通信事業者として指定されています。LINE関連サービスで利用者管理のために共通的に使われるMIDは、特定利用者情報として適切に管理される必要があります。総務省は、このMIDが利用者の利益に及ぼす影響が大きい電気通信役務以外で使われる場合でも、同じように適正な取扱いが求められるとしています。

2つ目は、外部送信規律です。オンラインゲームサービスなどの所定の電気通信役務で、利用者端末から外部へ利用者情報を送信する場合、電気通信事業法第27条の12に基づき、送信される情報、利用目的、送信先について、利用者へ確認機会を付与する必要があります。今回、利用者への通知等がないまま各種の利用者識別子が第三者へ送信されていたため、総務省は同条への違反があったものと認めています。

LINEヤフーの7月13日公表では、外部広告ツールの設定変更にあたり、LINEヤフーとパートナー企業の確認が不十分だったと説明されていました。総務省の指導文書は、そこから一段踏み込んでいます。Treenod Inc.がMIDなどの利用者識別子について、個人データおよび特定利用者情報に該当することを認識しておらず、LINEヤフーの承諾なしに活用できると判断していた点、さらにゲームアプリ更新時のLINEヤフー側の内部審査で、不適切な情報送信が行われた情報収集モジュールの詳細確認が行われていなかった点を指摘しています。

約710万件と約803万件の違い

LINEヤフーの7月13日公表では、対象件数は内部識別子ベースで合計約710万件、うち日本国内分は約666万件とされています。サービス別では、LINE ポコポコが約547万件、LINE ポコパンタウンが約79万件、LINE ポコパンが約84万件です。ユニークユーザー数では約610万人、うち日本国内は約574万人と説明されています。

一方、総務省の指導文書では、約803万件、うち日本国内利用者分約752万件とされています。この差分は、LINEヤフーが別枠で示していた、ゲーム利用時にゲストとしてログインしていたためユーザー個人を特定できない状態で送信されていた約93万件、うち日本国内約86万件を含めるかどうかによるものと考えられます。

実務上は、利用者本人を直ちに特定できるかどうかだけで件数を切り分けるのではなく、端末やアプリ利用とひも付く識別子が、どの範囲で、どの期間、どの第三者に送信されていたかを一体として管理する必要があります。本件は、その棚卸しが後追いになった事案ともいえます。

原因は設定ミスだけではなく、委託先管理と審査の問題

表面的には、外部広告ツールの設定変更時に、本来送信する必要のない内部識別子が送られるようになっていた事案です。ネットワークエンジニアやサーバーサイドエンジニアの立場で見ると、広告SDKや分析モジュールの送信項目は、アプリの機能本体とは別に扱われがちです。特にゲームアプリでは、イベント計測、広告効果測定、リテンション分析などの目的で外部ツールが入り込みやすく、確認が開発会社任せになると見落としが起きやすくなります。

本件で重いのは、送信が2022年5月から2026年4月まで約4年間続いていたことです。初回実装時だけでなく、その後のアプリ更新や審査、外部送信項目の定期確認でも検知できなかったことになります。総務省が技術面を含む内部審査の不備を指摘しているのは、この継続期間の長さを踏まえたものです。

業務提携先が特定利用者情報に該当することを認識していなかったという点も見過ごせません。これは単なる個人の理解不足ではなく、LINEヤフー側が提携先に対して、どの識別子がどの法令・社内規程上の保護対象になるのかを十分に伝え、設計・実装・運用の各段階で確認する仕組みが弱かったことを示しています。

過去のLINE関連インシデントとの共通点

今回の事案は、単独で見るより、過去のLINEヤフー関連インシデントと並べて見る方が問題の輪郭がはっきりします。

当サイトのLINEで発生した個人情報漏洩と流出のまとめ〖2026年最新〗では、2018年から2021年にかけて中国の委託先エンジニアが国内サーバー上の個人情報へアクセス可能だった問題、2023年の旧ヤフーによるNAVERへの位置情報提供問題、2023年から2024年にかけてのNAVER Cloud経由の不正アクセスによる約52万件の情報流出、2024年のLINEアルバム誤表示、2025年のLINE公式アカウント関連の情報誤表示、2026年のLYPプレミアムのパスワード不具合を整理しています。

これらの事案には、いくつかの共通点があります。委託先や外部事業者との境界が曖昧になり、どこまでが自社の統制範囲なのかが後追いで問題化する点。技術的には、アクセス権限、ネットワーク分離、CDN、広告ツール、認証処理といった異なる領域で発生していますが、根本には開発・運用・委託先管理を横断するリスク評価の弱さがあります。

2024年のLINEアルバム誤表示では、他ユーザーの画像がサムネイルとして表示され、総務省が通信の秘密の漏えいにあたると判断しました。この件は総務省がLINEヤフーに行政指導-LINEアルバムの漏洩は「通信の秘密の漏えい」に該当で詳しく取り上げています。2025年には、LINEの公式アカウントで情報漏洩-繰り返される個人情報漏洩インシデントで整理したように、外部CDNの脆弱性とLINE側のデータ処理方式の組み合わせによって、企業・店舗向けのLINEチャットや管理画面で情報誤表示が発生しました。

今回のLINE GAME事案は、通信内容や画像そのものの誤表示ではありません。それでも、外部ツールや業務提携先を通じて、利用者識別子が長期間にわたり利用者の認識しない形で外部送信されていた点で、過去事案と同じくサービス提供者のデータガバナンスが問われています。

LINEヤフーの再発防止策と今回の行政指導の重み

LINEヤフーは、2023年から2024年にかけての不正アクセス事案を受け、総務省や個人情報保護委員会への報告を継続してきました。2026年7月21日時点の公表では、NAVER社およびNAVER Cloud社とのシステム分離、認証基盤の分離、不要通信の遮断、SOC体制の整備、委託先管理の見直しなどを進めてきたと説明しています。

ただ、今回の行政指導は、その再発防止策の進捗が公表された直後に出ています。しかも問題となった送信は、2022年5月から2026年4月まで続いていました。過去の不正アクセス対策としてネットワーク分離や認証基盤の見直しを進めていても、アプリ内の広告分析モジュールや外部送信項目までは十分に管理しきれていなかった、という見方ができます。

総務省はLINEヤフーに対し、特定利用者情報に該当する利用者情報の再精査、安全管理措置の見直し、業務委託先等への指導・監督、全てのLINE関連アプリにおける外部送信の総点検、定期的な点検を求めています。さらに、本日から起算して1年間、四半期に一度、実施状況を定期報告するよう求めました。

個人情報保護委員会への報告状況

本稿執筆時点で、LINEヤフーの7月13日公表および7月31日公表からは、今回のLINE GAME内部識別子外部送信について、個人情報保護委員会へ報告した旨は確認できませんでした。個人情報保護委員会側から、今回事案に関する勧告・指導・注意喚起が公表された事実も確認できていません。

一方で、過去のNAVER Cloud経由の不正アクセス事案では、個人情報保護委員会が2024年3月28日にLINEヤフーへ勧告等を行い、以降の改善状況について報告を求めていました。当サイトでもLINE ヤフーの個人情報漏洩に対する改善状況と今後の対応方針 -個人情報保護委員会が最新の取りまとめを公表で整理しています。

今回の識別子は、氏名や住所のような典型的な個人情報ではありません。しかし、総務省が指摘した通り、他の情報と照合することで個人を特定しうる可能性がある情報です。情報システム部門や法務・プライバシー部門では、個人情報保護法上の個人データ該当性だけでなく、電気通信事業法上の特定利用者情報や外部送信規律の観点も分けて確認する必要があります。

利用者への影響と二次被害リスク

LINEヤフーは、外部送信された情報に氏名、住所、電話番号、銀行口座、クレジットカード番号は含まれておらず、外部ツール提供企業は該当情報を削除済みで、不正利用も確認されていないと説明しています。二次被害の報告もないとしており、利用者側に求める個別対応はないとしています。

その説明を前提にしても、識別子情報の扱いは軽く見られません。識別子は、単体では人の名前を示さなくても、アプリ利用履歴、広告接触、端末情報、IPアドレス、位置情報、他サービスのIDと結びつくことで、行動プロファイルの軸になります。外部分析サービスや広告ツールに送信される情報は、送信先の管理状態や保有期間、他データとの結合可否によってリスクが変わります。

情報システム部門の観点では、今回のような事案はフィッシングやなりすましに直結する漏えいとは性質が異なります。ただし、将来的に外部送信先や関連データベースが侵害された場合、ゲーム利用者やLINE利用者を狙った不審広告、偽キャンペーン、偽問い合わせへの誘導に悪用される可能性は否定できません。利用者への説明では、現時点で確認されている事実と、識別子データが持つ潜在的な照合リスクを分けて伝えることが重要です。

情報システム部門への示唆

今回の行政指導は、LINEヤフーだけの問題ではありません。自社アプリやWebサービスで広告SDK、アクセス解析、A/Bテスト、クラッシュ解析、プッシュ通知、MAツールを利用している企業であれば、同じ論点を抱えています。

最初に確認すべきは、外部送信の棚卸しです。どの画面、どのイベント、どのSDKから、どの利用者情報が、どの第三者へ、何の目的で送信されているのかを一覧化する必要があります。プライバシーポリシーや外部送信に関する公表事項に書かれている内容と、実際の通信ログやSDK設定が一致しているかを検証しなければなりません。

委託先・提携先が開発や運用を担っている場合は、契約条項だけでは足りません。リリース前の通信確認、SDKのバージョン管理、送信項目の差分確認、コードレビュー、プロキシやモバイルアプリ解析による実通信の確認を運用に組み込む必要があります。特に広告分析系の設定変更は、管理画面上のトグルやパラメータ変更で送信項目が変わる場合があるため、アプリのソースコードだけを見ても検知できないことがあります。

特定利用者情報や個人データに該当する可能性があるIDについては、社内で命名や分類を統一することも有効です。MID、GUID、内部ユーザーID、端末ID、広告ID、Cookie IDのような識別子は、開発現場では技術的なキーとして扱われがちですが、プライバシー上は重要な管理対象です。識別子を新設・送信・結合する場合は、プライバシーレビューを必須化し、法務・セキュリティ・開発の判断を同じ台帳に残すべきです。

過去のLINE関連インシデントを見ても、問題は一度の設定ミスで終わっていません。委託先アクセス、外部クラウド、CDN、広告ツール、認証処理と、発生箇所は変わっても、境界管理と技術審査が弱い部分から事故が起きています。自社で似た構造がないかを点検し、外部送信規律を単なる法務文書の更新ではなく、実通信の検証プロセスとして運用することが求められます。