2023年10月、LINEヤフー社に不正アクセスがあり、LINEユーザーの個人情報を含む最大44万件の情報が漏洩したことが、11月27日に一斉に報道されました。
本件に関し、LINEヤフー社から「不正アクセスによる、情報漏えいに関するお知らせとお詫び」という文書が公表されています。
2023年11月27日 IRニュース 不正アクセスによる、 情報漏えいに関するお知らせとお詫び | LINEヤフー株式会社
(PDF 882.9KB、少し大きいので開く際はご注意ください。画像で記事内にも引用しています。)
「個人情報が漏洩した」ことは一目で分かる文章ですが、いったい何が起きたのか、わたしの情報は大丈夫なのか、LINEは今後も使って大丈夫なのか、といった点について、少し文章を読み込んでいこう、という記事です。
個人情報漏洩はどのようにして起きたのか
LINEヤフー社が発表している文書は、次のようなものです。PDFは少し大きいので、スクリーンショットを画像としてご紹介します。
つまり何が起きたのか
まず読んでいきたいのは、今回の情報漏洩、つまり何が起きたのか、という点です。
この部分ですね。
いったい何が起こったのでしょう?
細かい所は分かりませんが、文章に書いてあること読み解くと、次のように図解できるのではないかと思います。
「共通の認証基盤」ってなに?
まず分かりにくいのが、「共通の認証基盤」という言葉です。
分かりやすくご説明すると、私たちがふだん使っている「Googleでログイン」「LINEでログイン」みたいなものだと考えてみてください。
※実際は、それとは違うものです。LINEの情報漏洩についての話ですが、「LINEでログイン」のことではありません。
いろんなゲーム、いろんなアプリ、いろんなサービス。それぞれにログインするわけですが、それぞれにID・パスワードは必要なく、「Googleでログイン」を使っていればGoogleにさえログインできれば、どのゲーム・アプリ・サービスにもログインできます。
このように、各サービスが別々に本人確認をするのではなく、本人確認の作業を専門の本人認証サービスにまかせることで、ログインの管理を円滑にするものが「共通の認証基盤」です。
今回の場合はおそらく、不正アクセスを受けた委託先企業の社員は、同じID・パスワードで、NAVER Cloudにも、LINEにもアクセスできる状態にあったのでしょう。
とりいそぎ、アクセス経路になった NAVER Cloud→LINEのアクセスは遮断したそうなので、今回の漏洩のもととなった同じ原因の漏洩が続くことは止めた、ということです。
なぜNAVER CloudとLINEの認証基盤は共通だった?
なんでこんなことが起きてるのか、という点ですが、
LINEはもともと、韓国NAVERの日本法人がはじめたサービスです。ソフトバンクとの資本・業務提携をへて、ソフトバンクの子会社になっていますが、たどってたどっていくと、源流は韓国NAVERにたどりつきます。
そのため、LINEの開設当初、NAVERと共通の認証基盤をもつことが、サービス提供にあたっての合理的な必要性があったのではないか、と思われます。
現在も、LINEヤフー社の筆頭株主「Aホールディングズ」社はソフトバンクとNAVERの合弁会社で、ですから「当社関係会社」である、という関係は続いています。
ここからは推測になりますが、このように、提携関係は継続しているため、旧LINE社のシステムを認証基盤を分離する、という作業は、優先順位としては、低かったのではないでしょうか。
認証基盤が分離すれば、不正アクセスはおきなくなる?
かりにNAVER Cloud社と認証基盤を分離しても、この委託会社は、LINEヤフー株式会社の委託先でもあったわけですから、LINEヤフー社は、分離後のLINEヤフーのアクセス権限を、あらためて付与しないといけないはずです。
そうすると、同じように委託会社がハッキングされれば、結局LINE側にもアクセスできてしまうじゃないか、ということも考えられます。
しかし一方、認証基盤が共通でなくなることから、LINEヤフー側が、委託会社に付与するアクセス権限を細かく制限できるようになる、とも考えられます。そうすると、委託業務に最低限必要な情報にしかアクセスできなくなり、漏洩は起きにくくはなるかもしれません。
いったい何が漏洩したのか?
つぎに、いったいどんな個人情報が漏洩したのか? という点をみていきたいと思います。
LINEヤフー社の文書でいうと、次の部分です。
「詳細は別添」の、「別添」がたくさんあるので、一枚にまとめます。
トーク履歴は漏洩していない
ふだん私たちがLINEでやりとりしている「トーク」、その内容は、今回、漏洩していないことが明らかにされています。
個人間のトークや、グループトークなどは、初期設定で「Letter Sealing」という暗号化が適用されており、変更しない限り、メッセージを読み取れるのは両方のスマホのLINEアプリ内だけとなります。LINEのサーバーといえども、メッセージを読むことはできません。このため、仮にデータが漏洩しても、トークの内容が読み取られることはありません。
LINE公式アカウントとのやりとりでは、Letter Sealingは適用されていませんが、その内容も今回は流出していないようです。
「個人を特定できない」→「できる」、変更された報道記事
当初の報道では、NHK、日経、FNNなどで「個人を特定できない範囲でのLINE利用者の年代や性別、LINEスタンプの購入履歴の情報など」と報じられました。11/28時点で、NHKの記事にまだその記述が残っています。
しかしその後、日経の記事は「流出した情報の中には解析すればアプリのプロフィル情報にある氏名などを第三者が閲覧できる可能性があるものもある。」と内容を変更したようです。
「個人情報が流出した」の意味
最近、ユーザーのデータを「匿名化」して利用されることが多くなっています。
そもそも「個人情報」の定義は、
『生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述などによって特定の個人を識別できるもの（他の情報と容易に照合することができ、それによって特定の個人を識別することができることとなるものを含む。）、または個人識別符号が含まれるもの。』
個人情報保護委員会 FAQ「「個人情報」「個人データ」「保有個人データ」とは、どのようなものですか。」
特定の個人が識別できないように加工した情報が漏洩しても、それは個人情報流出とは言わない、ということになります。
ですから、今回の情報流出は、「特定の個人が識別できる」とLINEヤフーも判断しているからこそ、「個人情報の流出」とめいうった文書が公開されているのでしょう。
「内部識別子」って何?
全体にたくさん出てくる「内部識別子」という言葉があります。同じ文書内で、このように説明されています。
LINEユーザー内部識別子*2
LINEのアプリケーション内部で機械的にユーザーを識別するためのものであり、友だち追加のためのID検索に用いるLINE IDとは異なります。
「不正アクセスによる、情報 漏えいに関するお知らせとお詫び」
すごく身近なものにたとえると、出席番号、学籍番号、社員番号のようなもの、だといってよいでしょう。
「LINEユーザー内部識別子に紐づく…」とは
例えば、学校のテストの成績が流出したと仮定します。
- 氏名と点数が流出すれば、そのまま特定の個人の成績が確認できます。
- 出席番号と点数だけが漏洩したのであれば、そのまま特定の個人の成績は識別できません。
- もし、漏洩したデータを手に入れた人が、同時に、学年名簿を手に入れたとしたら、出席番号から氏名を割り出し、特定の個人の成績を確認することができます。
いきなり、生々しい氏名のリストが流出したわけではありませんから、データを保管する際に、識別子におきかえて保存してあったのでしょう。ですから、パッと見は、謎の番号の羅列のようなデータなのではないかと思います。
しかし、なんらかの手がかりをもとに解析すると、それがなんという名前の人の履歴なのか、判明してしまう可能性がある、とみるべきだと思います。
ですから、LINEヤフーの「別添」を読む際には、「内部識別子」とある部分を、「解析すると氏名が分かる可能性がある符号」と置き換えて読むと、実際の影響の程度が実感できるのではないかと思います。
「hash化された電話番号 /メールアドレス」はバレてしまうのか
「hash化」(ハッシュ化)について、LINEヤフーの文書はこう説明しています。
特定の文字列や数字の羅列を一定のルールに基づき、不可逆的に暗号化した電話番号79件（うち日本ユーザー3件）、メールアドレス16件（うち日本ユーザー4件）、LINE ID17件（うち日本ユーザー1件）
「不正アクセスによる、情報 漏えいに関するお知らせとお詫び」
「不可逆的に暗号化」というと、「元に戻せないなら大丈夫?」と思ってしまいますが、そんなことはありません。
「ハッシュ化」は、暗号化と同じではありません。変換のやり方が公開されていて、誰でも同じ方法でハッシュ化が行えるからです。
確かに、ハッシュ化されたデータそのものから、メールアドレスは取り出せません。
しかし例えば、氏名とメールアドレスが入った名簿を持っていて、そのメールアドレスを全部ハッシュ化してみます。
すると、漏洩した「ハッシュ化されたメールアドレス」と、いま名簿から生成した「ハッシュ化されたメールアドレス」のあいだで、突合せができてしまいます。すると、結果的に、そのデータに関わる個人の氏名が特定できることになるのです。
突き合わせるための第2のデータが必要ではありますが、しかし、やはり「個人情報」に違いはないのです。
LINE使ってるけど、わたしの情報は漏れたのでしょうか?
さて、以上いろいろ公表資料から何が読み取れるのか見てきましたが、けっきょく自分の情報はどうなったのか、どんな影響があるのか、という点が、一番知りたいことかもしれません。
対象ユーザーには可能な限り、さまざまな方法で連絡がある
この点を、LINEヤフー社の資料にはこう書いてあります。
「二次被害のおそれがあると評価したユーザー」に、可能な限りさまざまな方法で直接連絡をする、ということです。
LINEの総ユーザー数から見れば、漏洩した数は決して多くはないので、連絡が来る可能性はそんなに高くはないと思います。しかし、連絡がきた場合には、悪用される可能性がある、ということですので、そこから賠償などという話にも、なってくると思います。
個人情報漏洩の賠償はどのぐらいなのか
有名な事例では、2014年のベネッセの情報流出では「一人3,300円」という判決(東京地裁)が出ていますが、まだ係争中です。
前橋市教育委員会の情報漏洩では、47,000人の情報漏洩に対し、NTT東日本に1億4200万円の賠償判決(前橋地裁)
いちど漏洩した情報は、悪意のある他者の手に渡ってしまえば消えることはなく、そういう意味では、損害は半永久的に発生し続ける可能性をはらんでいます。ですから賠償額の算定と言っても、どこかで踏ん切りをつけて決めざるを得ないようなところがあると思います。
今後もLINEを使っても大丈夫でしょうか?
最後に、大きく重いこの課題について書いてみたいと思います。
多くの人が利用し、いまや「なくてはならない」通信手段となったLINEを、今後も使い続けても大丈夫でしょうか?
相次ぐ情報漏洩事故の防止は、デジタル社会の成否をにぎる課題
LINE以外でも、最近、ひじょうに大きな情報漏洩が報道されました。
これはしかも、「事故」ではなく「事件」です。内部の関係者が、堂々と情報を持ち出していました。
デジタル化の進展によって、ひじょうに多くの情報が集まり、かつ、その情報に多方面からアクセスする必要がたかまっています。
情報量が増えるほど、漏洩した時の被害は拡大します。また、情報にアクセスするルートや件数が増えれば、それだけ、セキュリティ対策の必要性も増します。
デジタル化は、信頼が命、と言われますが、まさにその信頼をかちとれるのかどうか、正念場だといえるでしょう。
LINEで今回の不正アクセス・漏洩が起きた背景について
この項は、内部者でもなく、したがって内部事情に詳しくもない、筆者の私見にすぎないことを、最初におことわりしておきます。
教室で皆様の質問におこたえする立場にある者として、質問があった場合にどう答えるか、という想定で、私見を書いていきます。
LINEヤフーの文書では、このあたりに、今後の対策が書かれています。
韓国企業のいちサービスから、「国民的通信アプリ」への脱皮はいまだならず
最初は、NAVER社のいちサービスとして出発したLINEが、ここまで「国民的」なサービスまで成長するとは、誰も予想していなかったのでしょう。
日常生活に不可欠のインフラになっていくに従い、いち韓国企業の運営するサービス、では済まなくなってきた。決して採算性がよくはなかったこともあわせ、ヤフーとの統合のはこびとなった。
ヤフーと統合するということは、つまり、国内3大キャリアのひとつであるソフトバンクが、LINEのガバナンスに責任を持つ体制に移行する、ということも、意味していたのではないかと思います。
ところが、10月に会社統合を果たした、その直後に、不正アクセスが起きていました。
NAVERとの認証基盤の共有は、まさに、LINEが韓国のいち企業のサービスとして出発したことの、名残りであったのではないでしょうか。「国民的通信アプリ」にふさわしい、統合されたガバナンスが必要、と認識はされていても、実際にそれを実行するに至ってはいなかった、ということだととらえました。
多くの情報漏洩でキーポイントとなる「業務委託」
これはLINEに限らずですが、大きなサービスを実施するにあたって、自社だけでまかなっているところは多くないと思います。
かならずといっていいほど、何らかの外部委託を行っています。
外部委託のさいのセキュリティを確保する、ということは、「信用できる委託先を選ぶ」ことだと思われがちですが、実際に事業者の立場として考えた時、そうではない、と思います。
例えば、Webサイトの制作・管理を委託する時。借りているサーバーのパスワードそのものを業者に渡したりしないでしょうか?
そうすると、その委託先は、サーバーの中のデータをすべて見ることができます。「このデータは見せる」「このデータはアクセスを禁止する」といった設定が一切できなくなります。
そうではなく、サーバーの必要なフォルダへのアクセス権だけを渡すこともできます。そうすれば、権限を与えたフォルダ以外は、委託業者は閲覧できず、仮にその業者がハッキングの被害を受けても、権限のあるフォルダ以外は流出を防ぐことができます。さらに、ハッキング被害が早期に分かった場合は、権限そのものを削除して、いっさいのアクセスを遮断することもできるかもしれません。
LINEヤフー社が「事象の契機となった、委託先の安全管理措置の是正に取り組みます。」と書いていることの中には、つまり、安全管理措置の不備が実際にはかなりあるのではないかと思います。
大きな規模のサービスになるほど、委託先は多くなり、安全管理も重要性を増します。
現状のLINEの対策には、問題が山積していると判断せざるを得ませんが、これはまた、同業者であればいずれ同じように問われていく問題である、とも言えるのではないかと考えています。
決して「合格点」とは言えないLINEの体制
以上のようにみていくと、決して「合格点」とは言えない状態である、と言えると思います。
「LINEを使っても大丈夫です!」と、胸を張って言える状態ではありません。
しかし一方でご注意いただきたいのですが、「それなら、LINEはやめてメールにする」とした場合、電子メールのセキュリティリスクはまったく違うもので、むしろリスクが高まってしまう場合があることです。電子メールは、インターネットを介して直接配信されるので、途中経路でどこの誰のサーバーを経由しているかまったく分かりません。また、本文は多くの場合暗号化されますが、宛先・差出人・件名は基本的に暗号化されず、途中経路で読み取られるリスクは常にあります。
電話番号のやりとり、ではなく、スマートフォンのメッセージアプリでのやりとりが主流になった今、安全に万人が通信をできるために、どんな体制が必要なのか。その模索が続いている状況だと思います。
当店としては「今すぐLINEなんかやめなさい」と言うものではありません。ただ、どーんと信頼して任せてしまうのではなく、少なくとも、漏洩があったとき、どんなリスクがそこにはあるのか、関心をもっていく必要はあるだろうと思います。
コメント