何が起きたか
LINEヤフーは、第三者が同社の社内システムに不正アクセスし、ユーザー、取引先、従業者などに関する情報が漏えいしたと発表しました。攻撃の契機として同社が説明したのは、LINEヤフーとNAVER Cloud社の双方の委託先企業に勤める従業者が所持するPCのマルウェア（不正なプログラム）感染です。LINEヤフー自身のPCが感染したという発表ではありません。LINEヤフーの2024年2月14日更新発表
同社は、2023年9月14日から社内システムへの不正アクセスが始まり、10月9日にはNAVER Cloud社のシステムを介して同社のシステムへ後続の不正アクセスが行われたと説明しています。10月9日は本事案全体の開始日ではありません。初回発表での開始日「10月9日」は、同年12月27日に「9月14日」へ訂正されました。LINEヤフーの2024年2月14日更新発表／12月27日の訂正発表
被害と影響
同社が2024年2月14日に示した、漏えいの可能性を含む個人データの対象件数は次のとおりです。各区分には推計値が含まれます。これらを、確定した漏えい人数や被害者数として読み替えることはできません。LINEヤフーの更新発表／影響の詳細（別添PDF）
| 情報の区分 | 同社の公表値 | 数値を読む際の注意 |
|---|---|---|
| ユーザーに関する個人データ | 302,980件（うち日本ユーザー130,192件） | 推計値49,751件を含む。人数と同一視しない。 |
| 取引先等に関する個人データ | 86,211件 | 推計値89件を含む。 |
| 従業者等に関する個人データ | 130,315件 | 推計値70,671件を含む。認証基盤などの件数は重複するアカウントを含み、従業者数と一致しない。 |
同社は、上記のユーザーに関する個人データの件数には、口座情報、クレジットカード情報、LINEアプリのトーク内容は含まれないと説明しています。この説明を、ほかの情報区分やすべての情報に広げて「漏えいなし」とは扱いません。LINEヤフーの更新発表
同社は、不正アクセスに使われた可能性のある従業者のパスワードをリセットし、関係会社のシステムから自社サーバーへのアクセスを順次遮断したと発表しました。対象者への通知も始めています。LINEヤフーの更新発表
その後、同社は再発防止策の進捗について、2026年7月15日に総務省と個人情報保護委員会へ最終報告を行い、受領されたと発表しました。LINEヤフーの2026年7月21日の続報
出来事の時系列
| 日付（日本時間） | 出来事 |
|---|---|
| 2023年9月14日 | 社内システムへの不正アクセスが開始。現在の公表で採用されている開始日。 |
| 同年10月9日 | NAVER Cloud社のシステムを介して、同社のシステムへの後続の不正アクセスが発生。 |
| 同年10月17日 | 同社が不審なアクセスを検知し、調査を開始。攻撃開始日ではない。 |
| 同年10月27日 | 同社が外部からの不正アクセスである可能性が高いと判断。 |
| 同年11月27日 | 同社が事案を初めて公表し、対象者への通知を開始。当時の発表では開始日を10月9日と記載。 |
| 同年12月27日 | 同社が開始日を9月14日に訂正。 |
| 2024年2月14日 | 同社が追加調査の結果と更新した対象件数を公表し、影響範囲の最終調査を完了したと説明。 |
| 2026年7月15日 | 同社が再発防止策の進捗について総務省と個人情報保護委員会へ最終報告し、受領されたと後日発表。 |
日付は同社の2024年2月14日更新発表と12月27日の訂正発表に基づきます。LINEヤフー株式会社の発足日は2023年10月1日です。9月14日の出来事を記す際には、同社が現在の公表で本事案に含めているという意味で社名を使っています。
まだ分かっていないこと
参照した同社の発表からは、委託先企業の従業者のPCがどのようにマルウェアに感染したか、マルウェアの種類、不正アクセスの終了日時を確認できません。対象件数にも漏えいの可能性と推計値が含まれ、確定した漏えい人数を計算することはできません。フィッシングが感染の原因だったと推測することもできません。LINEヤフーの更新発表／影響の詳細（別添PDF）
この事例から分かること
委託先の端末で起きた感染を契機に、関連する組織のシステムを介した不正アクセスが発生しました。この事例は、組織間の接続先や委託先も含めて安全管理を考える必要性を示しています。LINEヤフーは再発防止策として、従業者のログインを確認する共通の仕組みの分離、ネットワークアクセス管理の強化、委託先の安全管理措置の是正を挙げています。LINEヤフーの更新発表
利用者向けの当時の案内: 同社は対象者に、同社を装ったメッセージに注意するよう呼びかけました。これは情報漏えい後の二次被害への注意であり、今回のPC感染や侵入がフィッシングで起きたという説明ではありません。LINEヤフーの更新発表