# ＬＩＮＥヤフー（4689） 不正アクセスによる個人情報漏えいへの再発防止策に関するお知らせ

Source: Komori (komori.app) — https://komori.app/company/4689/disclosure/20240214535931
種別: 発生事実
開示日: 2024-02-14
Komoriの読み（0-100）: 62
企業ページ: https://komori.app/company/4689

## 何が変わったか

2023年11月に公表した不正アクセスによる情報漏えいについて、LINEヤフーが再発防止策を公表した。委託先の管理強化、NAVER Cloud社とのネットワーク・認証基盤の分離、従業員システムへの二要素認証やセキュリティ診断などを進める。

## 会社が挙げた理由

韓国NAVER Cloud社の委託先かつ当社の委託先でもある企業の従業者が所持するPCのマルウェア感染が不正アクセスの契機となった。また、委託先企業への安全管理措置、NAVERと旧LINE社間のシステム・ネットワークのあり方、旧LINE社における従業員システムのセキュリティに課題があったためとしている。

## 開示の要点

- 事象の名称: 不正アクセスによる個人情報漏えいへの再発防止策
- 発生日: not_disclosed（2023年11月27日は事象の公表日として記載）
- 認知日・通知受領日: not_disclosed
- 対象となる主体: LINE ヤフー株式会社
- 対象拠点・対象製品: 旧LINE社環境の従業員向けシステム、NAVER Cloud社とのネットワーク・認証基盤、データ分析システム等の重要なシステム
- 原因: 当社関係会社である韓国 NAVER Cloud 社の委託先かつ当社の委託先でもある企業の従業者が所持する PC がマルウェアに感染したことが契機。また、「委託先企業への安全管理措置」および「NAVER と旧 LINE 株式会社間（以下、旧 LINE 社）のシステム・ネットワークのあり方」、「旧 LINE 社における従業員システムのセキュリティ」に課題があったため。
- 業績への影響額: not_disclosed
- 計上する会計期間: not_disclosed
- 業績予想への影響: not_disclosed
- 訴訟・手続きの種類: not_disclosed
- 裁判所・当局: not_disclosed
- 原告: not_disclosed
- 被告: not_disclosed
- 提訴日・処分日: not_disclosed
- 請求額・課徴金額: not_disclosed
- 回収不能または回収遅延のおそれが生じた債権の額: not_disclosed
- 停止した業務: not_disclosed
- 再開予定日: not_disclosed
- 調査体制: 外部企業による計画の妥当性・有効性の客観的な評価を実施
- 再発防止策: 委託先管理の強化／委託先のセキュリティリスク評価方法を見直すとともに、外部の第三者の協力も得て、より実効性を高めたモニタリングや管理・監督方法を策定する／当社外部委託先が当社社内ネットワークにアクセスする場合における、当社管理下のPCの利用および当社ネットワークに接続する際の二要素認証の徹底を進める／NAVER Cloud社含む本件の原因となった当社委託先に対して、本事案を踏まえた改善策について実施状況を確認し、必要に応じた管理の強化等を要請する／システム・ネットワークのリスク解消・強化（NAVER Cloud社との認証基盤の分離含む）／NAVER Cloud社と旧LINE社間のネットワークアクセスの管理を強化する／ファイアーウォールの導入やセーフリスト化により、ネットワークへの異常な接続や攻撃を防ぎ、ネットワークを保護する仕組みを構築する／旧LINE社環境の従業員向けシステムで共通化しているNAVER Cloud社との従業者情報を扱う認証基盤環境を分離し、LINEヤフー専用の認証基盤への移行を行う／従業員向けシステムおよびネットワークの分離も行う／従業員システムのセキュリティ強化／従業員向けシステムへのアクセス制御と制限を強化するため、二要素認証の適用を標準とする方針とする／データ分析システム等の重要なシステムに対して、アクセス制御のメカニズムが適切に機能していることを検証する目的で、追加的なセキュリティ診断を実施する／原因の再分析およびリスクシナリオの再定義、再発防止策の妥当性検証、追加対策計画の策定等についても検討を続ける
- 役員の責任: not_disclosed
- 異動前の議決権所有割合: not_disclosed
- 異動後の議決権所有割合: not_disclosed
- 今後の見通し: 再発防止策を順次実施し、外部企業による計画の妥当性・有効性の客観的な評価を実施する。原因の再分析、リスクシナリオの再定義、再発防止策の妥当性検証、追加対策計画の策定等についても今後検討を続ける予定。
- 続報の予定: not_disclosed

## 評価の根拠

- この事象は損失をもたらすものか、利益をもたらすものか。: 小幅な下振れ（原文: 「「第三者による不正アクセスを受け、ユーザー情報・取引先情報・従業者等に関する情報の漏えいがあることが判明しました」」）
- 示された影響額は、会社の利益・売上の規模に対してどの程度か。: 相対規模は不明（原文: 「影響額、利益、売上の数値の記載はなく、「ユーザー情報・取引先情報・従業者等に関する情報の漏えい」と記載されている。」）
- 影響額の開示状況はどれか。: 金額の記載なし（原文: 「本文には金額、損失、費用、請求額に関する記載がない。」）
- 相手方・対象拠点・対象製品・対象契約が固有名で特定されているか。: あり（原文: 「「LINE ヤフー株式会社」「韓国 NAVER Cloud 社」「旧 LINE 株式会社」」）
- 主要な事実に数値と時期がついているか。: 定性的（原文: 「「ユーザー情報・取引先情報・従業者等に関する情報の漏えい」および「二要素認証の適用を標準とする方針」」）
- 肝心の数値を、別紙・同日開示の他資料・決算短信に委ねているか。: なし（原文: 「「2023 年 11 月 27 日に公表（※1）した不正アクセス」および「※1）https://www.lycorp.co.jp/ja/news/announcements/007712/」」）
- 事象はどこまで収束しているか。: 対応中（原文: 「「主に以下の再発防止策を順次実施してまいります」「今後検討を続けていく予定です」」）
- この書類は、この事象についての何度目の開示か。: 続報（原文: 「「2023 年 11 月 27 日に公表（※1）した不正アクセスを受け策定した再発防止策を以下のとおりお知らせいたします」」）
- 続報の予定はどう書かれているか。: 続報に触れず（原文: 「「今後検討を続けていく予定です」」）
- 第三者委員会・特別調査委員会・外部専門家の関与が示されているか。: あり（原文: 「「上記の再発防止策については、外部企業による計画の妥当性・有効性の客観的な評価を実施します」」）
- 影響についての記述はどれだけ断定的か。: 条件付き（原文: 「「順次実施してまいります」「二要素認証の適用を標準とする方針とします」「今後検討を続けていく予定です」」）
- 事象の原因はどこにあるか。: 内部管理（原文: 「「委託先企業への安全管理措置」および「システム・ネットワークのあり方」、「従業員システムのセキュリティ」に課題があった」）
- 事象はどの主体で起きたか。: 提出会社（原文: 「「LINE ヤフー株式会社は、2023 年 11 月 27 日に公表した不正アクセスを受け策定した再発防止策を」」）
- 自社の開示手続きについて、この書類は何を認めているか。: 開示上の問題なし（原文: 「「2023 年 11 月 27 日に公表（※1）した不正アクセス」」）
- 再発防止についてどこまで書かれているか。: 具体的な再発防止策（原文: 「「委託先管理の強化」「システム・ネットワークのリスク解消・強化」「従業員システムのセキュリティ強化」」）
- 株主・顧客・関係者への謝罪の文言があるか。: あり（原文: 「「ユーザーおよび関係者の皆さまに多大なるご迷惑とご心配をおかけする事態となりましたことを、改めて心より深くお詫び申し上げます」」）