LINEヤフー株式会社のサイバー攻撃被害｜約44万件のLINE利用者情報が流出、委託先システムを経由した攻撃、個人情報（氏名、電話番号等）が外部に流出
AI要約・精査
AI
要約
AI
精査
AI要約
AI精査
ChatGPTによるAI精査
GeminiによるAI精査
サイバー攻撃の被害事例
LINEヤフー株式会社約44万件のLINE利用者情報が流出、委託先システムを経由した攻撃、個人情報（氏名、電話番号等）が外部に流出
- システム脆弱性を狙った攻撃
- 標的型攻撃（APT攻撃）
被害発生日2023年9月14日
企業名LINEヤフー株式会社
この事例の要点
LINEヤフー株式会社において、第三者による不正アクセスが発生し、ユーザー、取引先、従業員に関する情報が漏えいしたインシデントです。侵入経路は関係会社のシステム経由と推測されており、発覚後、該当システムからのアクセスは遮断済みです。公表時点では二次被害の報告はないものの、引き続き調査と対応を進めるとしています。
事例の概要
| 企業名 | LINEヤフー株式会社 |
|---|---|
| 売上高 | 1兆9,174億円（2024年度） |
| 総資産 | 9兆1,583億円（2024年度） |
| 従業員数 | 11,035名（単体）（2024年度） |
| 被害発生日 | 2023年9月14日 |
| 被害の内容 | - 約44万件のLINE利用者情報が流出 - 委託先システムを経由した攻撃 - 個人情報（氏名、電話番号等）が外部に流出 |
| 出典 | LINEヤフー公式発表「当社およびグループ会社への不正アクセスに関するご報告」 |
対策に向けたガーディアンの見解
1サプライチェーン全体でのセキュリティガバナンス強化
今回のインシデントは、侵入経路が「関係会社のシステム」と推測されている点が最大の教訓です。自社のセキュリティを強固にしても、取引先や関連会社といったサプライチェーンの一部が弱点となり、侵入を許してしまうケースは後を絶ちません。
対策として、自社だけでなく、業務上接続が必要な全ての関係会社に対して、契約時にセキュリティ要件を明確に定義し、定期的なセキュリティ監査や脆弱性診断の実施を義務付けることが不可欠です。また、ゼロトラストの考え方に基づき、たとえ信頼関係にある会社からのアクセスであっても無条件に信用せず、全ての通信を検査・検証するアーキテクチャへの移行が求められます。
2侵入を前提とした検知・対応能力の向上
不正アクセスを100%防ぐことは困難であるという前提に立ち、万が一侵入された際に、いかに迅速に検知し、被害を最小限に抑えるかが重要です。今回のケースでも、アクセス遮断という対応は取られていますが、検知に至るまでの時間や影響範囲の特定が課題となります。
具体的な対策としては、サーバーや端末の不審な挙動を監視するEDR（Endpoint Detection and Response）や、ネットワーク全体の通信を監視するNDR（Network Detection and Response）といったソリューションの導入が有効です。これにより、不正な内部活動を早期に発見できます。加えて、インシデント発生時の対応手順を定めた計画（インシデントレスポンスプラン）を策定し、定期的な訓練を通じて、関係者がスムーズに連携できる体制を構築しておくべきです。
3認証基盤とアクセス制御の厳格化
関係会社を経由してアクセスされた背景には、認証情報の窃取や不適切なアクセス権限管理があった可能性が考えられます。従業員や外部委託先のアカウント管理は、セキュリティの根幹をなす要素です。
対策として、全てのシステムアクセス、特に重要な情報資産へのアクセスに対して多要素認証（MFA）を必須とすることが極めて重要です。さらに、「最小権限の原則」を徹底し、各アカウントには業務上必要最低限の権限のみを付与し、定期的な棚卸しを行うべきです。管理者権限のような特権IDについては、使用状況をリアルタイムで監視・記録し、不正な利用を即座に検知できる仕組み（特権IDアクセス管理）の導入も検討すべきでしょう。
企業がするべきセキュリティ対策については
サプライチェーン攻撃の起点は中小企業にある
ランサムウェアのカラクリと、ホームページ・メール・ブラウザ「3つの接点」の対策をまとめて解説しています。
対策の解説を読む
SOLUTION
GUARDIANの
サイバーセキュリティ
対策サービス
サイバーセキュリティ
対策サービス
SCAN DOG ライト版
まずは大企業が保有する取引先（中小企業）数千社規模をライト版で一斉に簡易診断し、現状把握しましょう！経済産業省も推進する『サプライチェーン強化に向けたセキュリティ対策評価制度』にも対応した、自己評価・第三者評価をクリアにし、次なる対策「SCSC Dog」で課題を解決していきましょう。
SCSC Dog
診断によって現状把握を終えた取引先（中小企業）には、評価という結果＝課題だけが残ります。その解決策として、同時にご提供するのがSCSC Dogとなります。セキュリティ対策に特化した弊社WEBプラットフォーム上に、取引先（中小企業）ホームページをお預かりしサプライチェーン網をこれまで以上に強固なものへ引き上げます。
SCAN DOG 正規版
WEBプラットフォームとして安全を確保して終わりではありません。SCSC Dogご利用のお客様ホームページには、世界水準で最新鋭の攻撃パターンを網羅した第三者機関による診断サービス「SCAN DOG 正規版」を定期的に受け続けることができ、一時的な対策だけではなく恒久的に保全し続ける環境をご提供します。