LINEヤフー、約40万の個人情報流出の可能性--統合後も問題繰り返す背景に韓国親会社か

　LINEヤフーが第三者による不正アクセスを受け、ユーザーや取引先、従業員などを含めたおよそ40万件の個人情報が流出した可能性があることを明らかにした。

　LINEヤフーはこれまでにも、個人情報保護に関する問題を何度か起こしている。総務大臣を務める鈴木淳司氏が「大変遺憾」と話すなど行政からも不信感を募らせているが、問題が相次ぐ背景は同社が経営統合で抱えた複雑な事情にありそうだ。

韓国経由で旧LINEの社内システムに不正アクセス

　LINEヤフーが個人情報の漏洩を明らかにしたのは、11月27日のこと。同社の発表によると、その発端は10月9日、LINEヤフーと、韓国のIT大手であるNAVERの傘下にあるNAVER Cloudの委託先である企業の従業者が所持するPCがマルウェアに感染したことを機としているようだ。

LINEヤフーのリリースより。同社は11月27日に、第三者による不正アクセスで40万以上の個人情報が流出した可能性があることを明らかにしている

　そして、LINEヤフーの前身の1つである旧LINEは、元々NAVERの子会社だった。そのため、旧LINE側の社内システムはNAVER Cloudと共通の認証基盤で従業員情報を管理していたようだ。マルウェアに感染した従業者のPCでNAVER Cloudのシステムを経由することで、LINEにも不正アクセスが実施されたという。

　その後、10月17日にLINEヤフーのセキュリティ部門が不審なアクセスを検知。10月27日に外部からの不正アクセスによる蓋然性が高いと判断され、今回その対象者と影響を告知するに至ったようだ。

　同社の発表によると、一連の不正アクセスで情報が漏洩した可能性があることが確認できたのは30万2569件のユーザーに関する情報(うち日本のユーザーは12万9894件)と、8万6105件の取引先等に関する情報、5万1353件の従業者(LINEヤフー及びNAVERとそれらのグループ会社)に関する情報となっている。

　いずれも個人情報が流出した可能性があるとされており、取引先はメールアドレスや従業者の氏名など、従業者に関しては氏名や社員番号、メールアドレスなども流出した可能性があるようだ。

　これらはあくまで流出した可能性がある人の数で、必ずしも全員の情報が流出したとは限らない。流出による二次被害の影響も現在は判明しておらず、LINEヤフー側は影響があったユーザーや取引先などに個別に連絡して二次被害への対処を進めていくとしている。

　また、既にアクセス遮断などの措置を実施しているほか、今後旧LINEの社内システムをNAVER Cloudの基盤と分離することなどで再発を防止する策も取るとしている。

　とはいうものの、40万以上の顧客情報を流出させた可能性があるという規模の大きさに加え、LINEヤフーには“前科”もあるため、一連の問題は連日マスメディアでも非常に大きな問題として取り沙汰されている。

経営統合後に繰り返す個人情報に関する問題

　“前科”の1つは2023年、LINEヤフーの前身の1つである旧ヤフーが検索エンジンの技術開発・検証のため、NAVERに対して5月18日から7月26日までの検索関連データを提供していたこと。

　この検索情報には慎重な取り扱いが求められる位置情報などが含まれており、それを利用者に十分周知しないまま提供したことが行政から問題視された。両社は8月30日、総務省から行政指導を受けている。

総務省のウェブサイトより。旧ヤフーは位置情報などを含む検索関連データを、利用者に十分周知せず海外企業のNAVERに提供したとして、8月30日に総務省から行政指導を受けている

　そしてもう1つは、旧LINEと旧Zホールディングスが統合した直後の2021年3月、LINE利用者の個人情報の一部が中国から閲覧できる状態にあったことが報道で指摘されたこと。これは当時、LINEのモニタリング業務の一部を中国にある子会社で実施していたことに起因している。

　中国には、政府の要請に企業が従わなければならない「国家情報法」が存在する。一部とはいえ中国で個人のトークのやり取りを管理していたことが、中国政府の判断によって情報流出につながる可能性があるとされ、問題視された訳だ。

旧LINEは2021年3月、LINEの一部のモニタリング業務を、流出の可能性がある中国の子会社で実施していたことなどが問題視され、謝罪と対策に追われていた

　だが、旧LINEはそれだけでなく、当時「LINE Pay」「LINEドクター」などの一部情報を韓国で保管しており、そのことをサービス上に明記していなかったことも問題視されていた。日本のユーザーのセンシティブな情報を海外で管理することに対する旧LINEの認識の甘さが批判を集め、旧Zホールディングスは統合直後からガバナンスの見直しを求められるに至っている。

　個人情報に関する大きな問題を繰り返しているだけに、今回のLINEヤフーによる情報流出には「またか」という声を挙げる人も多い。一連の問題を受けてLINEヤフー側も個人情報の管理体制の厳格化を進めているはずなのだが、それでも問題を繰り返してしまう背景はどこにあるのだろうか。

親会社の1つ「NAVER」が海外企業である認識が薄い

　そこに影響しているのは、旧LINEと親会社のNAVERの存在だ。先にも触れたが旧LINEは韓国企業であるNAVERの子会社であり、旧Zホールディングスと旧ヤフーと合併した現在も、NAVERがLINEヤフーの親会社の1つとなっている。

　LINEヤフーはソフトバンクの子会社と認識している人も多いかもしれないが、LINEヤフーの筆頭株主であるAホールディングスはソフトバンクとNAVERが50％ずつ出資しており、2社がLINEヤフーの親会社となっているのだ。

　つまり、ソフトバンクとNAVERはLINEヤフーに対して同じ影響力を持っている訳だが、一連の個人情報に関する問題を見ていくと、その多くが親会社であるNAVER側のリソースの影響を受けていることが分かる。

2019年に経営統合が打ち出された際の事業統合スキーム。ソフトバンクとNAVERが50％ずつ出資してジョイントベンチャー（現在のAホールディングス）に出資して旧Zホールディングスの親会社となり、旧LINEと旧ヤフーがその子会社となる形だった

　今回の情報漏えいに関しては、旧LINEの社内システムがNAVER Cloudと基盤を共有していたことが影響しているし、旧ヤフーの検索エンジンに関する問題も、NAVERの検索エンジンの採用に向けた検証の一環で起きたものと見られている。また、2021年のLINEの個人情報取り扱いに関する問題も、一部はやはり旧LINEがNAVERの基盤を積極的に活用してLINEの基盤を構築していたことが大きく影響している。

　LINEヤフーが事業を拡大する上で、親会社のNAVERが持つ技術や基盤を用いることは大きなメリットだが、NAVERは海外企業なのでそのリソースを活用するには国をまたぐ必要がある。LINEヤフーは経営統合後の事業が低迷しているだけに、事業の成長に重きを置いてNAVERの基盤を積極活用しているものと考えられるが、その一方で海外企業であることの認識が薄く、国をまたいでセンシティブな情報を管理することへの配慮が失われていることが問題を繰り返す要因となっているのではないだろうか。

NAVERは韓国を主体にさまざまな事業を展開していることから、そのリソースを活用できることがLINEヤフーの事業にプラスに働く一方、海外企業でもあるため情報の扱いには慎重さも求められる

LINEヤフーへの影響は？

　今回の問題によって、LINEヤフーは社債の発行を中止したと報じられており、事業への直接的な影響を受けているようだ。しかしより深刻なのは、問題を繰り返すことで消費者だけでなく、行政からの信頼も大きく落としていることだ。

　実際に総務大臣の鈴木淳司氏は、11月28日の記者会見でこの問題に対して「国民生活の重要なインフラとなっております通信サービスにおいて、再度、利用者情報の保護が十分に図られていない事案が発生したことは大変遺憾であります」と言及している。

　LINEヤフーは経営統合を打ち出した当初、LINEの基盤を活用した行政サービスの開拓に力を注ぐ姿勢を見せていたが、現状のままではその前提となる行政からの信頼を得ることはできない。ただ、NAVERとしても海外事業の大きな拠点となっているLINEヤフーを手放す理由はなく、親会社の1つであり続ける方針は変わらないだろう。それだけにLINEヤフーの信頼回復に向けてはある意味、NAVERとどのような距離を取って事業展開していくかが大きく問われることとなりそうだ。

2021年の経営統合の際、旧ZホールディングスはLINEを活用した行政サービスの提供に力を入れる方針を示していたが、情報漏洩に対する行政側の不信感の高まりがそれを阻む要因となっている