公表資料

News Release

LINE ヤフー株式会社に対する個人情報の保護に関する法律に基づく行政上の対応について
令和６年３月 28 日

個人情報保護委員会は、個人情報の保護に関する法律（平成 15 年法律第 57 号。以下「個人情報保護法」という。）に基づき、LINE ヤフー株式会社に対し、令和６年３月 28 日に個
人情報保護法第 148 条第１項の規定による勧告等を行いましたので、お知らせいたします。

【連絡先】
個人情報保護委員会事務局
監視・監督室
電話：03-6457-9680（代）LINE ヤフー株式会社に対する個人情報の保護に関する法律に基づく行政上の対応について【概要資料】
令和６年３月 28 日
個人情報保護委員会
個人情報保護委員会（以下「当委員会」という。
）は、令和６年３月 28 日、LINE ヤフー
株式会社（以下「LY 社」という。
）における個人データの取扱いに関する下記２件の事案について、LY 社に対し、個人情報の保護に関する法律（平成 15 年法律第 57 号。以下「個人情報保護法」という。）第 148 条第１項の規定による勧告等を行った。
１

LINE に関する個人データの漏えい等が生じた事案について⑴ 事案の概要
LY 社の業務委託先の韓国企業の従業者が業務で使用していた PC がマルウェアに感染したことが契機となり、LY 社の情報システムが不正アクセスを受け、コミュニケー
ションアプリである LINE に関する個人データが漏えい等する事態が発生した。
⑵ 当委員会の対応
当委員会は、令和６年３月 28 日、LY 社に対して、個人情報保護法第 23 条の規定違反（組織的安全管理措置の不備）を是正するために必要な措置をとるよう勧告するとともに、再発防止策の実施状況を含む当該勧告に対する改善状況について、令和６年４月26 日（金）までに初回の報告を求め、以降、同年６月 28 日（金）、同年９月 30 日（月）、同年 12 月 27 日（金）及び令和７年３月 31 日（月）までに報告等を求めた（詳細は別紙１を参照）。

２

LY 社のユーザー識別子である GUID の漏えいのおそれが生じた事案について⑴ 事案の概要
LY 社が運営するインターネットオークションサービス「ヤフオク！」の特定の商品ページ等において、一定のコマンド等の入力を行った場合に、オークション出品者のGUID が表示される仕様となっていたことにより、GUID の第三者への漏えいのおそれが発生した。
⑵ 当委員会の対応
当委員会は、令和６年３月 28 日、LY 社に対して、安全管理措置の不備等を理由として、個人情報保護法第 147 条の規定による指導を行った（詳細は別紙２を参照）
。
以 上

別紙１
LINE ヤフー株式会社における LINE に関する個人データの漏えい等事案
に対する個人情報の保護に関する法律に基づく行政上の対応について【詳細資料】
第１
１

事案の概要等LINE ヤフー株式会社（以下「LY 社」という。
）1はコミュニケーションアプリであるLINE（以下「LINE」という。
）の開発・運営を行っており、LINE のユーザー（以下「LINEユーザー」という。
）2、取引先、従業者等に関する個人データを取り扱っている。
２

本件は、令和５年８月 10 日及び同月 24 日に、LY 社の業務委託先の韓国企業である

セキュリティ保守会社（以下「A 社」という。
）の従業者により業務上使用されていたPC（以下「A 社 PC」という。
）がマルウェアに感染したことが契機となり、同年９月 14日から 10 月 27 日の間、LY 社の情報システム（以下「本件情報システム」という。
）が不正アクセスを受け、LINE に関するユーザー、取引先、従業者等に関する個人データ（以下「本件個人データ」という。）が漏えい等した事案（以下「本件事案」という。
）
である。
３

本件事案により漏えい（漏えいのおそれを含む。以下同じ。
）した個人データは約 52万人分であり、その内訳は下表のとおり。
漏えいのおそれを含む総件数
LINE ユーザーの
個人データ

４

漏えいが確認され漏えいのおそれが

た件数

ある件数

302,980 人分

253,229 人分

49,751 人分（うち、130,192 人分（うち、114,738 人分（うち、15,454 人分

は日本のユーザー）は日本のユーザー）は日本のユーザー）

取引先の個人データ

86,211 人分

86,122 人分

89 人分

従業者の個人データ

130,315 人分

59,644 人分

70,671 人分

個人情報保護委員会（以下「当委員会」という。
）は、LY 社より、個人情報の保護に関する法律（平成 15 年法律第 57 号。以下「個人情報保護法」という。
）第 26 条第１項に規定される漏えい等報告を受領した（令和５年 11 月７日付け速報、同月 14 日付け

1

LY 社は、令和５年 10 月１日、旧ヤフー株式会社（以下「旧ヤフー社」という。
）と旧 LINE 株式会社

（以下「旧 L 社」という。
）が合併し、組成された。合併以降、LINE は LY 社が運営している。
2

全世界で約 1.95 億人のユーザーを抱え、そのうち日本のユーザーは約 9,600 万人とされる。

1

中間報及び同年 12 月 27 日付け確報）。また、当委員会は、令和５年 12 月 12 日、個人情報保護法第 146 条第１項の規定による報告等の求めを行い、同月 26 日に LY 社から
これに対する報告書を受領した。その後、関係者へのヒアリング等の調査を実施し、事案の解明に努めてきた。
第２
１

事実関係
不正アクセスを受けた LY 社の情報システムについて
本件事案では、LINE サービスの運営に関わる LY 社の従業者が利用する複数の情報システムが不正アクセスを受け、前記第１の３のとおり、本件個人データが漏えいし、又は漏えいのおそれが発生した3。不正アクセスを受け、保管する個人データが漏えい等した情報システムは、LY 社のデータセンター（日本）に所在するものと NAVER Cloud 社（以下「NC 社」という。
）4のデータセンター（韓国）に所在する5ものがあり、具体的には下表のとおりである。
なお、LY 社によると、LINE のアカウント情報、メッセージ、通話音声、動画配信等を管理するサーバへの不正アクセスは確認されていない。
システム名称
データ分析システム6

漏えいした

所在する

個人データ

データセンターユーザー情報LY 社（302,469 人分）
ソースコード管理システム

ユーザー情報

LY 社（471 人分）
社内文書管理システム

3

ユーザー情報

LY 社

本件事案発生時点、旧 L 社と旧ヤフー社の情報システムは分離して管理していたため、本件事案により不正アクセスを受けたのは旧 L 社の情報システムに限られ、Yahoo! JAPAN 等の旧ヤフー社提供のサービスに関する情報システムに影響はなかった。
4

韓国の企業である NAVER Cloud Corporation（韓国語表記）。同社は、韓国の大手 IT 企業であり検索エンジン「ネイバー」を運営する NAVER CORP.（韓国語表記）の 100%

子会社である。以下、NAVER CORP.及び NAVER Cloud Corporation をはじめとする子会社らをまとめて「NAVER グループ」という。
5

LY 社によれば、LINE に関する個人データを NC 社のデータセンター（韓国）に保管するに際して、個人情報保護法第 28 条（外国にある第三者への提供の制限）の規律に関して、NC 社が個人情報の保護に関する法律施行規則（平成 28 年個人情報保護委員会規則第３号）第 16 条第２号で定める個人情報の取扱
いに係る国際的な枠組みに基づく認定を受けていることを確認し、さらに、本人から外国にある第三者へ提供することの同意を取得している。
6

LINE の各種サービス（メッセージへのリアクションやスタンプ購入等）についてユーザーの利用履歴を分析するためのシステム。

2

（40 人分）
取引先情報（34 人分）
従業者情報（６人分）
認証基盤システム

従業者情報

LY 社

（29,313 人分）
ウイルス対策管理サーバ

従業者情報（552 人分） LY 社

社内コミュニケーション等に係る取引先情報（106 人分） NC 社

システム

従業者情報
（78,410 人分）

NAVER グループ共通認証基盤

取引先情報

7

システム

LY 社及び NC 社

（86,071 人分）
従業者情報（22,034 人分）

２⑴

本件情報システムに関する業務委託等－各社の関係性について
LY 社と NC 社の業務委託関係
LY 社は NC 社との間で、IT サービス利用等に関する業務委託契約を締結している。
また、同契約に基づき、NC 社は、LINE に関するサーバ、ソフトウェア等の開発及び運用保守を実施し、LY 社は、NC 社のデータセンターに所在する社内コミュニケーシ
ョン等に係るシステム及び LY 社と NC 社の両方のデータセンターに所在する共通認証基盤システムを従業者向けシステムとして利用している。
なお、LY 社は、NC 社に対して本件個人データの取扱いに係る委託8は行っていない。

⑵

ウイルス対策管理サーバの保守業務
LY 社は、A 社との間で、セキュリティに係るメンテナンス業務委託契約を締結しており、同契約に基づいて、A 社は、LY 社のデータセンターに所在するウイルス対策管
理サーバへのアクセス権限を付与され、保守業務を行っていた。
また、NC 社も A 社との間で、セキュリティに係るメンテナンス業務委託契約を締結しており、同契約に基づき、A 社は NC 社のデータセンターに所在する NC 社のウイ
ルス対策管理サーバの保守業務も行っていた。
なお、LY 社は、A 社に対して本件個人データの取扱いに係る委託は行っていない。

7

NAVER グループの従業者と LY 社の従業者が共同で利用する認証基盤システム。以下「共通認証基盤システム」という。
8

個人情報保護法第 27 条第５項第１号。個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供されることをいう。

3

３
⑴

不正アクセス及び漏えいに至った経緯
A 社への不正アクセス
A 社は、令和５年８月 10 日及び同月 24 日、不正アクセスを受け、同年９月７日頃に、A 社 PC がマルウェアに感染したことにより、不正アクセスの行為者（以下「攻撃者」という。
）が、A 社 PC を遠隔操作できる状態となった（①）
。その後、攻撃者
は、マルウェア感染した A 社 PC を悪用し、後述のように、NC 社のデータセンターに所在するシステム及び LY 社のデータセンターに所在するシステムに対し、立て続けに不正アクセスを行った。

⑵

NC 社への不正アクセス
A 社の従業者は、令和５年９月 14 日に、前記第２の２⑵の業務委託契約に基づく
定期点検作業のため、NC 社からアクセスを許可された NC 社の管理者 PC にリモート接続したところ、攻撃者は、前記⑴の遠隔操作の手法を用いて NC 社の管理者 PC 及
び NC 社のウイルス対策管理サーバをマルウェアに感染させた（②）。
その後、攻撃者は、令和５年９月 18 日から同月 26 日にかけて、NC 社のウイルス対策管理サーバを踏み台として、NC 社の管理者権限を奪取し、その管理者権限により、NC 社の認証基盤システムに不正アクセスしてマルウェアに感染させ、そこに保存されていた、共通認証基盤システムにアクセスするための LY 社従業者の ID・パス
ワードのハッシュ値や、LY 社の認証基盤システムにアクセスするための LY 社従業者の ID・パスワードのハッシュ値を不正に入手した（③）
。

⑶

LY 社への不正アクセス
攻撃者は、令和５年９月 14 日、前記⑵のとおりマルウェアを感染させた NC 社の管理者 PC から、NC 社のネットワークを介して、LY 社が A 社に発行した業務委託先用の ID・パスワードを用いて、LY 社のデータセンターに所在するウイルス対策管理サーバへ不正アクセスし、LY 社の従業者情報に関する個人データを不正に取得した（④）
。
さらに、令和５年９月 27 日以降、攻撃者は、前記⑵のとおり入手した LY 社の従業者の ID・パスワードのハッシュ値を用いて、LY 社の従業者が利用する認証基盤シス
テムへ不正アクセスし（⑤）
、LY 社のデータ分析システム、ソースコード管理システ
ム、社内文書管理システム及び社内コミュニケーション等に係るシステムへアクセスするための ID・パスワードを不正に入手した後、各種システムへ不正アクセスし、LINE ユーザーの個人データ、LY 社の取引先及び従業者の個人データを不正に取得した（⑥）
。また、攻撃者は、前記⑵のとおり入手した ID・パスワードのハッシュ値を用いて、共通認証基盤システムへ不正アクセスし、LY 社の取引先情報及び従業者情報に関する個人データを不正に取得した（⑦）。

4第３問題の所在－本件事案の特性

本件事案は、セキュリティ保守の業務委託先の韓国企業である A 社への不正アクセスに端を発し、IT サービス利用等に関する業務委託先で情報資産を共有していた韓国の NC社を踏み台としたサイバー攻撃であり、LY 社のサプライチェーン9が侵入経路となった不正アクセスである。
LY 社においては、個人データの所在場所を問わず、業務委託先との接続も含めたサプライチェーン全体について、その安全管理のために、個人情報保護法第 23 条及び個人情報の保護に関する法律についてのガイドライン（通則編）（以下「ガイドライン」という。
）
に従い、必要かつ適切な措置を講ずる必要があったところ、不正アクセス及び漏えいに至った事実関係に鑑みると、以下の点が不正アクセスの原因となっていると考えられる。
１

NC 社データセンターと LY 社データセンターとのネットワーク接続
NC 社を含む NAVER グループの従業者と LY 社のうち LINE の開発・運営に関わる従業者は、社内メ―ルやファイル共有システム等の社内コミュニケーションを利用するための認証基盤システムを共同で利用している。共通認証基盤システムは、もともと、
NAVER CORP.がグループ会社の従業者情報や組織情報を一元化することを目的として導入したものであり、後記第５の２⑴アのとおり NAVER CORP.の日本法人が LINE を開発したという経緯があることから、LY 社のうち旧 L 社の従業者は、共通認証基盤システ
ムを利用していた。
NAVER グループ及び LY 社が共同で共通認証基盤システムを利用していたことに起因し、NAVER グループの情報システムが多数所在する NC 社データセンターと LY 社データセンターとの間はネットワーク接続が不可避であったこと及び NC 社と LY 社は、同じグループ会社として様々な業務を協業してきた経緯から、NC 社に対しては、LY 社のシステムへの広範囲なアクセスが許可されていた。
本件では、前記第２の３⑵及び⑶のとおり、共通認証基盤システムから LY 社の従業者の個人データが漏えいしており、さらに、同システムを足がかりとして、LY 社のデータセンターへ攻撃者の侵入がなされたところ、LY 社と NC 社との間で業務上必要な通信のみ接続を許可するよう適切に制御していれば、攻撃者による LY 社のデータセンタ
ーへの侵入を防止できた可能性がある。
２

重要度の高い情報システムへのアクセス管理
LY 社では、本件事案で不正アクセスの被害がなかった LINE のアカウント情報、メッ9

業務システムや IT サービス等の商品の調達・製造からサービスが利用者に届くまでの一連の流れのこと。

5セージ、通話音声、動画配信等を管理するサーバについては、重要度が高い個人データを管理する情報システムであると認識し、当委員会が行った令和３年の指導を踏まえた再発防止策として、かかるサーバへのアクセスには ID・パスワードに加え、事前登録されたスマートフォンの所持確認を行うことによる多要素認証を導入していた。
他方、本件で不正アクセスがなされたデータ分析システム等については、LINE のユーザー情報が保管されているにもかかわらず、ID・パスワードのみでの認証方式を採用していた。仮に、データ分析システム等へのアクセスについて、攻撃者が LY 社の従業者になりすましたログインを防止するような強度の高い認証方式を導入していれば、攻撃者が前記第２の３⑵及び⑶の不正アクセスで漏えいした従業者情報（LY 社従業者の ID・パスワードを含む。
）を利用したとしても、さらなる侵入には至らなかった可能
性がある。
第４
１

旧 L 社に対して当委員会が行った令和３年の指導について
事案の概要
令和３年３月、LY 社の前身である旧 L 社がシステム開発を再委託していた中国の子会社 Shanghai LINE Digital Technology Limited において、LINE ユーザーに関する個
人情報に、エンジニア４名が計 35 回のアクセスを行っていた事実関係が認められた。
この事案について、当委員会は、令和３年４月 23 日、旧 L 社に対し、個人情報保護法
第 41 条10に基づき、委託先における個人データの取扱いに関して自らが講ずべき安全管理措置と同等の措置が講じられるよう適切な監督等を実施するよう指導を行った（以下「令和３年行政指導」という。）。
２

指導に対する旧 L 社の対応
旧 L 社は、令和３年行政指導に対して、委託先の監督及びアクセス管理の強化のため、以下の再発防止策を講ずることとした。
⑴

委託先の個人データへのアクセス権限を業務上必要な範囲に限定するよう、アクセス権限付与を見直す。

⑵

個人データの取扱いを委託する委託先企業に対して、年に１回の監査を実施することとする。

⑶

重要度の高い個人データにアクセス可能な権限のログインには多要素認証を導入する。

10

個人情報の保護に関する法律等の一部を改正する法律（令和２年法律第 44 号）による個人情報保護法の改正前の条文番号。

6

３
⑴

本件事案との関連性
委託先の監督について
旧 L 社及び LY 社は、前記２⑴及び⑵に従い、個人データの取扱いがある委託先を監督していたが、本件において、LY 社は、NC 社及び A 社に対し、本件個人データの取扱いを委託していなかったため、NC 社及び A 社は個人データの取扱いがある委託先として管理されておらず、定期的な実地監査等の委託先に対する監督は行ってい
なかった。

⑵

多要素認証の導入について
旧 L 社は、令和４年４月～７月、外部と接続するシステム（VPN 機器等）と LINE メ
ッセージ等の秘匿性の高い個人データにアクセス可能なシステム（LINE メッセージ
における迷惑行為等の利用者情報があった際に対応するモニタリングツール等）について、他システムより優先して多要素認証を導入した。しかし、前記第３の２のとおり、本件個人データのうちユーザーに関する個人データが管理されていたデータ
分析システム等については、多要素認証導入の検討もされないまま、未導入のままと
なった。

第５

個人情報保護法上の問題点

１ 技術的安全管理措置の不備
ガイドラインにおいて、個人情報取扱事業者は、担当者及び取り扱う個人情報データ
ベース等の範囲を限定するために、適切なアクセス制御を行わなければならないと規定されている（10-6⑴アクセス制御）。
本件の攻撃者による NC 社のデータセンターから LY 社のデータセンターへの接続方
法は、通常の業務として想定されている接続方法とは異なるものであったにもかかわらず、NC 社と LY 社のネットワーク間において導入・運用している侵入検知システムは、
本件の攻撃者による不正アクセスを防止及び検知することができなかった。これは、LY
社が、NC 社に対し、前記第３の１のとおり LY 社のネットワーク及び社内システムへの広範なアクセスを許容していたにもかかわらず、サーバ、ネットワーク及び社内システ
ムを保護するための十分な措置を講じておらず、特定のポートに係る通信をブロックするのみで、それ以外の通信は広く許容されていたことが一因であったものと認められる。
LY 社が、このような広範なネットワーク接続によるリスクを理解し、NC 社のシステ
ムや端末から LY 社のネットワークやシステムに関して、
真に必要な通信のみを許容し、その他のアクセスを認めない仕組み等の措置をとっていれば、不正アクセスを防止又は検知できた可能性がある。
7

以上から、LY 社においては、技術的安全管理措置（アクセス制御）に不備が認められる。
２ 組織的安全管理措置の不備
LY 社においては、以下のとおり、組織的安全管理措置に不備が認められる。
⑴

個人データの取扱状況の把握及び安全管理措置の評価、見直し及び改善について
ガイドラインにおいて、個人情報取扱事業者は、個人データの取扱状況を把握し、安全管理措置の評価、見直し及び改善に取り組まなければならないと規定されている（10-3⑸ 取扱状況の把握及び安全管理措置の見直し）。
しかしながら、LY 社においては、個人データの取扱状況の把握及び安全管理措置の評価、見直し及び改善について、以下のような問題点が認められる。
ア NC 社との関係に応じたリスク管理に関する問題点
LINE は、2011 年に NHN Japan 株式会社（現 NAVER CORP.の日本法人、以下「NHNJapan」という。
）が開始したサービスである。NHN Japan は、2013 年にウェブサー
ビス事業とゲーム事業を分割し、ウェブサービス事業は NHN Japan から商号変更
した旧 L 社が引き続き運営した。旧 L 社は、当時親会社であった、NAVER CORP.や、
NAVER CORP.の子会社等、NAVER グループから技術面及びインフラ面の支援を受けながら事業運営を行ってきた。そのような沿革から、LY 社は、今回不正アクセスを受けたシステムを含む複数の重要なシステムについても、サーバやソフトウェ
ア等のインフラの構築及び運営業務を NC 社に任せ、NAVER グループと共同利用する共通認証基盤システムや NC 社が提供するシステムの利用を続けてきた。
個人情報取扱事業者は、個人情報保護法第 23 条及びガイドライン「10 （別添）講ずべき安全管理措置」に例示される具体的な措置に従い、取り扱う個人データの性質及び量やそのリスクに応じて、必要かつ適切な措置を自ら判断し、個人データを管理する情報システムやネットワーク構成を構築し、又は業務委託先等に構築させなければならない。
しかしながら、LY 社は、個人データの取扱いに関し、自らの判断でガイドラインに則した安全管理措置を講じなければならないところ、旧 L 社の沿革に起因す
る NC 社との共通認証基盤システムや NC 社との広範なネットワーク接続を許容す
るネットワーク構成の利用を継続してきた。また、LY 社は、NC 社に対して本件個人データの取扱いの委託は行っていないと整理していたため、実際に NC 社に対して自らの安全管理措置と同等の措置が講じられるよう監督を行うことはなく、結果として、NC 社に業務委託し構築させたシステムが侵入経路及び漏えい原因となり、本件個人データが漏えいした。
すなわち、LY 社は、その安全管理のために必要かつ適切な措置を講ずる責任の所在と手段の検討及び把握が曖昧なまま、ユーザーの個人データを含む大量の個
8人データを取り扱っていたものである。
LY 社は、このようなリスクや課題を認識すべきであったにもかかわらず、共通認証基盤システムの共同利用や、NC 社に対する重要なシステムの構築及び運営の業務委託を継続してきたものであり、個人データの取扱状況の把握及び安全管理措置の評価、見直し及び改善に問題があると言わざるを得ない。
イ

令和３年行政指導後の対応に関する問題点
前記第４の２⑶のとおり、委託先における個人データの取扱いに関して適切な監督等を実施するよう求めた令和３年行政指導に対し、LY 社は、再発防止策の一つとして、重要度の高い個人データにアクセス可能な権限のログインには多要素認証を導入するとしたが、本件事案で不正アクセスを受けたデータ分析システム
等において保管されているユーザーの情報の機微性が、他のシステムと比較して相対的に低いと判断し、多要素認証の導入を見送ってきた11。
しかしながら、本件個人データのうち、データ分析システムに保管されている個
人データは、ユーザーの LINE 各種サービス（メッセージへのリアクションやスタ
ンプ購入等）の利用履歴に関する個人データであるところ、これらのサービス利用
履歴は、個人の行動範囲、経済状況、趣味・嗜好等のプライバシーに関するデータであり、本人の権利利益の保護の観点からは、機微性の低い情報と分類することはできない。
そもそも、LY 社においては、①NC 社との共通認証基盤システムの利用及び②NC社との広範なネットワーク接続という点において、安全管理措置に関わる特殊性が存在していたものであるから、これらに起因するリスクを適切に評価し、ユーザ
ーのサービス利用履歴等の個人データについても、多要素認証導入を積極的に判断するべきであった。
以上から、LY 社においては、令和３年行政指導後の安全管理措置の評価、見直し及び改善が十分ではなかったものと認められる。
なお、令和５年 10 月１日の旧 L 社と旧ヤフー社の経営統合に当たり、旧ヤフー社における管理規程では、多要素認証機能を設けることを定めていたことから、経営統合後は、旧ヤフー社の規程に準拠し、多要素認証を基本とすることとした。LY社においては、経営統合前後にこれらの規程を見直すに当たって、本件個人データについても多要素認証の導入等の安全管理措置を見直し、改善する機会があったにも関わらず、速やかな実施に至らなかった点についても問題が認められる。

11

LY 社によると、令和３年行政指導を踏まえ、多要素認証を導入するシステムを選定した基準及び導入しないと決定したシステムに対するリスク評価について、経営陣が関与した意思決定のプロセス及び証跡が残っておらず、不正アクセスを受けたデータ分析システム等に対して、多要素認証を導入する計画はなかったとされる。

9

⑵漏えい等事案に対応する体制の整備についてガイドラインにおいて、個人情報取扱事業者は、漏えい等事案の発生又は兆候を把握した場合に適切かつ迅速に対応するための体制を整備しなければならないと規定されている（10-3⑷ 漏えい等事案に対応する体制の整備）。
本件では、不正アクセスの原因や侵害範囲等の全容を明らかにするに当たっては、
A 社 PC 及びサーバを調査し、また、NC 社に構築及び運営を業務委託するシステムのアクセスログを調査する必要があった。
しかしながら、LY 社は、自らの判断でガイドラインに則した安全管理措置を講じなければならず、漏えい等事案の発生時には事実関係の調査及び原因の究明が実施できるような体制を整備すべきであるところ、事実関係の調査及び原因の究明については、NC 社や NAVER グループに頼らざるを得ない状況であり、LY 社が本件事案の全容を把握するために約３か月半という時間を要した。
このように、LY 社は、自社の漏えい等事態に関する事実関係の調査及び原因の究明が速やかになされなかったものであり、漏えい等事案に対応する体制の整備の観点からも不備が認められる。

⑶

組織体制の整備等について
ガイドラインにおいて、個人情報取扱事業者は、個人データの取扱いに関する責任者の責任の明確化などを含めた安全管理措置を講ずるための組織体制を整備しなければならないと規定されている（10-3⑴ 組織体制の整備）。
しかしながら、LY 社においては、旧 L 社に対する令和３年行政指導後も、他社との広範なネットワーク接続を継続しているにもかかわらず、前記のとおり、アクセス制御等の技術的安全管理措置が講じられていなかったこと、個人データの取扱状況の把握及び安全管理措置の評価、見直し及び改善に問題が認められること、漏えい等事案への対応を速やかに行うことができなかったことから、その組織体制が必ずしも十分に機能していたとは言い難い。
令和５年 10 月に経営統合が行われ、事業規模が拡大し、今後とも、大量かつ重要度の高い個人データの取扱いが想定されるところ、その取扱いに万全を期すために、
個人データの取扱いに関する責任者（DPO 等）が中心となって、安全管理措置が徹底される組織体制を整備し、その実効性のある運用の確保に注力すべきである。

第６

当委員会の対応

１ 事案の重大性について
本件事案は、約 9,600 万人もの日本のユーザーを抱える LINE において、約 52 万人分の個人データが不正アクセスにより漏えいした事案である。
また、漏えいした個人データの中には、ユーザーの LINE 各種サービス（メッセージ10

へのリアクションやスタンプ購入等）の利用履歴に関する個人データが含まれており、これらのサービス利用履歴は、マーケティング等の経済活動において有用性が高い一方、個人の行動範囲、経済状況、趣味・嗜好等のプライバシーに関するデータであるため、不適正に取り扱われた場合、本人の権利利益に対する重大な侵害につながるリスクがある。
このような本件事案の重大性、影響を受けた個人データ等の性質及び量を考慮した上で、適切な権限行使を行う必要がある。
２ 勧告（個人情報保護法第 148 条第１項）⑴

前記第５の２⑴のとおり、LY 社は、個人データの取扱いに関し、自らの判断でガイドラインに則した安全管理措置を講じなければならないところ、NC 社との共通認証基盤システムや NC 社との広範なネットワーク接続を許容するネットワーク構成の利用を継続し、令和３年行政指導後も、本件個人データについて、その安全管理のために必要かつ適切な措置を講ずる責任の所在と手段の検討及び把握が曖昧なまま、
ユーザー情報を含む大量の個人データを取り扱っていた。
LY 社は、このようなリスクや課題を認識すべきであったにもかかわらず、共通認証基盤システムの共同利用や、NC 社に対する重要なシステムの構築及び運営の業務委託を継続してきたものであり、個人データの取扱状況の把握及び安全管理措置の評価、見直し及び改善に問題があり、組織的安全管理措置の不備が認められる。

⑵

また、LY 社は、技術的安全管理措置（アクセス制御）の不備について、本件事案発生後、NC 社と LY 社間のネットワーク接続にファイアウォールを導入するとともに、ACL（アクセスコントロールリスト）の適用により、必要なアクセスのみを許可するという一定の措置を講ずることとしている。
しかしながら、本件において、侵入検知システムが不十分であり、適切なアクセス
制御がなされていなかった点は、LY 社が NC 社との間で、従業者アカウントの認証情報を、共通認証基盤システムや情報の同期を認めるシステム構成によって共有しており、NC 社に対し、LY 社のネットワーク及び社内システムへの広範なアクセスを許容していたという組織的安全管理措置の不備に起因するものである。

⑶

LY 社は、
NC 社とのシステム及びネットワークの分離を目指しているものの、現状、根本的な対策については時間を要するとしている。令和３年行政指導後に再び本件漏えい等事案が発生し、また、LY 社が多数のユーザーを含む個人データの取扱いを今後も継続していくことからすると、この状態を放置しておくことは、個人の権利利益を侵害するおそれが高い。

⑷

以上から、個人情報保護法第 148 条第１項の規定により、同法第 23 条の規定違反（組織的安全管理措置の不備）を是正するために必要な措置として、NC 社との共通
認証基盤システムの利用、NC 社との広範なネットワーク接続を許容するネットワー
11

ク構成及び重要度の高い個人データを保管する情報システムに対するアクセス者の識別と認証の方式に関するリスクや課題を適切に把握するために、安全管理措置が徹底される組織体制を整備し、また、漏えい等事案に対応する体制の整備並びに安全管理措置の評価、見直し及び改善を行うよう勧告する。
３

報告等の求め（個人情報保護法第 146 条第１項）
LY 社に対し、個人情報保護法第 146 条第１項の規定により、再発防止策の実施状況

を含む前記２の勧告に対する改善状況について、令和６年４月 26 日（金）までに初回の報告を求め、以降、同年６月 28 日（金）、同年９月 30 日（月）、同年 12 月 27 日（金）及び令和７年３月 31 日（月）までに報告等を求める。
以

12

上

不正アクセス侵入経路図
セキュリティに係るメンテナンス業務委託契約

セキュリティ保守会社（A社）（韓国）

ITサービス利用等に関する業務委託契約

NAVER Cloud社

LINEヤフー株式会社（LY社）（NC社）（韓国）

NC社の情報システム
A社執務環境LY社の情報システム
LY社データセンター（日本）

NC社データセンター（韓国）マルウェア（韓国）
感染

NC社内システム

LY社向けシステム

LY社従業者の漏えい

漏えい

マルウェア ID・パスワード
感染
認証基盤
システム

A社PC
①

LY社内システム

社内文書管理
システム

社内コミュ
ニケーショ
ン等に係る
システム

ユーザー情報
取引先情報
従業者情報

③
マルウェア
感染
ウイルス対策
管理サーバ

データ分析
システム

④
取引先情報
従業者情報

ウイルス対策
管理サーバ

ユーザー情報

攻撃者

②

マルウェア
感染

※ 図中の番号①～⑦は、別紙１詳細資料本文の第２の３⑴～⑶における番号に対応し
ている。

管理者PC

⑥

ユーザー情報

ソースコード管理システムユーザー情報ユーザー情報⑥⑤⑦NAVERグループと共同で利用する認証基盤（共通認証基盤）システム
漏えい

アカウント
情報

メッセージ

従業者情報

②

LINEユーザー
向けシステム

取引先情報
従業者情報

不正アクセスは確認されていない

LY社従業者のID・パスワード

認証基盤システム

従業者情報

漏えい

本番向け
個別認証システム
令和３年行政指導を踏まえて強化別紙２
LINE ヤフー株式会社における社内識別子である GUID の漏えいのおそれ事案に対する個人情報の保護に関する法律に基づく行政上の対応について【詳細資料】
第１事案の概要等１

LINE ヤフー株式会社（以下「LY 社」という。）が運営するインターネットオーク

ションサービス「ヤフオク！」（以下「ヤフオク」という。
）の特定の商品ページ等
において、令和３年５月 24 日から令和５年８月５日までの間、当該商品ページのHTML ソースコード内に当該商品の出品者の GUID（LY 社の社内識別子。詳細については後述する。）が表示される仕様となっていたことにより、第三者から閲覧できる状態にあり、個人情報の漏えいが発生したおそれのある事態が発覚した。HTML ソ
ースコード内に GUID が表示されていた出品者の数は 2,521,909 人で、そのうち、当該商品ページへの第三者のアクセスが１件以上確認できた出品者の数は
2,389,401 人であった。実際に HTML ソースコードが閲覧されたかについて確認ができないため、漏えいが発生したか否かは特定できない。
２

上記１の発覚を受け、LY 社で自主点検を実施した結果、以下の事象が発覚して

いる。
(1)

ヤフオクにて LY 社が定める参加基準を満たした出品者は、自らが管理するページ上に出品した商品の画像を掲載することが可能であるところ、令和２年３月 29 日から令和５年９月 27 日までの間、当該画像の URL に、当該出品者のGUID が表示される仕様となっていた。対象の出品者数は 4,402 人。

(2)

令和元年９月 26 日から令和５年９月７日までの間、出品者の出品している商品を落札するための画面において、商品のクーポンが表示される場合に、ブラウザ付随の開発者用検証ツールを実行すると、表示される検証用文字列
中に、当該出品者の GUID が表示される仕様となっていた。対象の出品者数は9,747 人。

３

LY 社においては、Yahoo!JAPAN のサービスを利用するために Yahoo!JAPAN のアカ

ウントを取得し利用している者の属性情報（携帯電話番号、氏名、生年月日、メー
ルアドレス、パスワード、お気に入り情報等）やサービス利用履歴情報（各サービスのアプリケーションログ等）を GUID に紐付けて管理しており、GUID は個人デー
タに該当する。

1

第２

個人情報保護法上の問題点
個人情報の保護に関する法律（平成 15 年法律第 57 号。以下「個人情報保護法」という。）第 23 条は、個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならないと規定し、個人情報に関する法律についてのガイドライン（通則編）（以下「ガイドライン」という。
）10-6(1)において、個人情報取扱事業者は、担当者及び取り扱う個人情報データベース等の範囲を限定するために、適切なアクセス制御を行わなければならないとされている。
しかし、LY 社においては、GUID が HTML ソースコード、画像表示ページの URL 及び開発者用検証ツールにおいて公開される状態となっており、適切なアクセス制御が行われていなかった。したがって、個人データの取扱いに係る技術的安全管理措置（アクセス制御）に不備が認められる。
第３

LY 社が実施済み又は実施予定の再発防止策

LY 社は、上記の問題点を踏まえて、以下の再発防止策を策定し、又は実施している。
・ウェブページ上で GUID を表示しないよう仕様変更を実施した。
・コンプライアンス違反をしないために遵守すべき主な事項を記載するデータ取扱ガイドライン等（特に、ユーザー識別子の取扱いに係る社内ガイドライン）について、担当部署内で周知徹底を行うとともに、令和５年９月に説明会を実施した。
・長期的に講じる措置として、ヤフオクにおいて、ユーザーに表示される画面上に情報を掲出するためのサーバー上で GUID を取り扱わないシステム改修を令和７
年 11 月頃までに完了させる予定である。
第４１

個人情報保護法第 147 条の規定による指導の内容
個人情報保護法第 23 条及びガイドラインに基づき、必要かつ適切な措置を講ずること。
２

既に策定した再発防止策を確実に実施するとともに、爾後、適切に運用し、継続的にその取り扱う個人データの漏えい等の防止その他の個人データの安全管理のために必要かつ適切な措置を講ずること。
以 上2