株式会社BlueAI は 2026年度 IT導入支援事業者に採択されました 詳しく見る
BlueAI セキュリティ
メニュー

事例・2023年

LINEヤフー 不正アクセスによる情報漏えい

2023年9月14日 情報通信（メッセージングアプリ・ポータルサイト）

LINEヤフー 不正アクセスによる情報漏えい（英語名 LINE Yahoo unauthorized access and data leak）は、情報通信（メッセージングアプリ・ポータルサイト）で起きた事例です。侵入口、決定的な失敗、被害の順に、公表資料の記載だけで図にしました。

  • 委託
  • 認証
  • 検知
  • 権限

要点

  • 侵入口 当社関係会社である韓国NAVER Cloud社の委託先かつ当社の委託先でもある企業の従業者が所持するPCがマルウェアに感染したことを契機に、NAVER Cloud社のADサーバが侵害され管理者権限が奪取された。
  • 決定的な失敗 総務省の行政指導書（2024年3月5日付）は、LINEヤフーがNAVER Cloud社との間で従業員アカウントの認証基盤を共通化し、NAVER Cloud社からの広範なネットワークアクセスを許容していたにもかかわらず、特定ポートを除いて厳格なアクセス制御を行っておらず、重要な社内システムへのログインに多要素認証を求めておらず、不正を検知するための適切な仕組みも導入していなかったと認定した。
  • 被害 個人情報保護委員会の資料（2024年3月28日）によれば、漏えい（漏えいのおそれを含む）した個人データは約52万人分。

攻撃の道筋

入口から、決定的な失敗を経て、被害に至るまで。図の番号は下の説明と対応します。図の文言は事例の記録からの引用です。

010203041234従業者が所持するPCマルウェアに感染共通の認証基盤従業員アカウントの認証基盤を共通化重要な社内システム多要素認証を求めておらず個人データ約52万人分
  1. 1
    侵入口従業者が所持するPC

    当社関係会社である韓国NAVER Cloud社の委託先かつ当社の委託先でもある企業の従業者が所持するPCがマルウェアに感染したことを契機に、NAVER Cloud社のADサーバが侵害され管理者権限が奪取された。

  2. 2
    決定的な失敗共通の認証基盤

    総務省の行政指導書（2024年3月5日付）は、LINEヤフーがNAVER Cloud社との間で従業員アカウントの認証基盤を共通化し、NAVER Cloud社からの広範なネットワークアクセスを許容していたにもかかわらず、特定ポートを除いて厳格なアクセス制御を行っておらず、重要な社内システムへのログインに多要素認証を求めておらず、不正を検知するための適切な仕組みも導入していなかったと認定した。

  3. 3
    決定的な失敗重要な社内システム

    総務省の行政指導書（2024年3月5日付）は、LINEヤフーがNAVER Cloud社との間で従業員アカウントの認証基盤を共通化し、NAVER Cloud社からの広範なネットワークアクセスを許容していたにもかかわらず、特定ポートを除いて厳格なアクセス制御を行っておらず、重要な社内システムへのログインに多要素認証を求めておらず、不正を検知するための適切な仕組みも導入していなかったと認定した。

  4. 4
    被害個人データ

    個人情報保護委員会の資料（2024年3月28日）によれば、漏えい（漏えいのおそれを含む）した個人データは約52万人分。

  1. 1
    侵入口従業者が所持するPC

    当社関係会社である韓国NAVER Cloud社の委託先かつ当社の委託先でもある企業の従業者が所持するPCがマルウェアに感染したことを契機に、NAVER Cloud社のADサーバが侵害され管理者権限が奪取された。

  2. 2
    決定的な失敗共通の認証基盤

    総務省の行政指導書（2024年3月5日付）は、LINEヤフーがNAVER Cloud社との間で従業員アカウントの認証基盤を共通化し、NAVER Cloud社からの広範なネットワークアクセスを許容していたにもかかわらず、特定ポートを除いて厳格なアクセス制御を行っておらず、重要な社内システムへのログインに多要素認証を求めておらず、不正を検知するための適切な仕組みも導入していなかったと認定した。

  3. 3
    決定的な失敗重要な社内システム

    総務省の行政指導書（2024年3月5日付）は、LINEヤフーがNAVER Cloud社との間で従業員アカウントの認証基盤を共通化し、NAVER Cloud社からの広範なネットワークアクセスを許容していたにもかかわらず、特定ポートを除いて厳格なアクセス制御を行っておらず、重要な社内システムへのログインに多要素認証を求めておらず、不正を検知するための適切な仕組みも導入していなかったと認定した。

  4. 4
    被害個人データ

    個人情報保護委員会の資料（2024年3月28日）によれば、漏えい（漏えいのおそれを含む）した個人データは約52万人分。

被害

被害

個人情報保護委員会の資料（2024年3月28日）によれば、漏えい（漏えいのおそれを含む）した個人データは約52万人分。内訳はLINEユーザーの個人データ302,980人分（うち日本のユーザー130,192人分）、取引先の個人データ86,211人分、従業者の個人データ130,315人分。初報の2023年11月27日時点では、漏えい（可能性含む）が確認された個人情報は合計約44万件（ユーザー302,569件、取引先等86,105件、従業者等51,353件）と公表されていた

決定的な失敗

  • 1総務省の行政指導書（2024年3月5日付）は、LINEヤフーがNAVER Cloud社との間で従業員アカウントの認証基盤を共通化し、NAVER Cloud社からの広範なネットワークアクセスを許容していたにもかかわらず、特定ポートを除いて厳格なアクセス制御を行っておらず、重要な社内システムへのログインに多要素認証を求めておらず、不正を検知するための適切な仕組みも導入していなかったと認定した。
  • 2加えて、NAVER Cloud社や業務委託先会社に対する管理監督（定期的な評価や基準遵守の契約上の定め）も不十分だったとしている。

経過

2023年8月10日から250日間の記録。軸は日数の平方根で縮めています。

  1. 2023.08.100日目

    業務委託先の韓国のセキュリティ保守会社の従業者が業務で使うPCがマルウェアに感染（8月10日と24日。個人情報保護委員会の資料）

  2. 2023.09.1435日目

    この日から10月27日までの間、LINEヤフーの情報システムが不正アクセスを受けた（個人情報保護委員会の資料）

  3. 2023.10.0960日目

    関係会社のサーバーを経由した当社サーバーへの不正アクセスが開始（LINEヤフー公表）

  4. 2023.10.1768日目

    セキュリティ部門がシステムで不審なアクセスを検知し調査を開始

  5. 2023.10.2778日目

    外部からの不正アクセスである蓋然性が高いと判断し、従業者パスワードのリセットと関係会社経由のアクセス遮断を実施

  6. 2023.11.27109日目

    ユーザー・取引先・従業者等への通知を開始し、不正アクセスによる情報漏えいを公表

  7. 2024.03.05208日目

    総務省が「通信の秘密の保護及びサイバーセキュリティの確保の徹底について」の行政指導を実施。電気通信事業法上の通信の秘密の漏えいと認定

  8. 2024.03.28231日目

    個人情報保護委員会が個人情報保護法第148条第1項に基づく勧告等を実施

  9. 2024.04.16250日目

    総務省が再発防止策の実施状況を踏まえ2度目の行政指導を実施。NAVER社側とのネットワーク完全分離が2年以上先になることなどを指摘

防げた手立て

番号は攻撃の道筋の図と対応します。

  • NAVER Cloud社との共通認証基盤の廃止と、従業員アカウント認証基盤の分離

    効く場所 2

  • NAVER Cloud社からのネットワークアクセスに対する厳格なアクセス制御（本事案では特定ポートを除き広範なアクセスが許容されていた）

    効く場所 2

  • 重要な社内システムへのログインにおける多要素認証の導入

    効く場所 3

  • 不正アクセスを検知するための適切な監視の仕組みの導入

    効く場所 3

  • 業務委託先（NAVER Cloud社及び業務委託先会社）に対する定期的な評価・基準遵守を定めた契約と管理監督の実施

    効く場所 1

関係するページ

手口、グループ、事例のつながりは、収録データの記録だけから引いています。

関係する手口

関係するグループ

収録データにはまだ出ていない

このテーマ

侵入の入口

同じテーマのページをまとめて読めます。

次に読む

出典

最終確認日 （2026年10月24日）

監修 平原尚樹（株式会社BlueAI 代表取締役CEO、ソフトウェアエンジニア、Google Cloud Architect）