IT企業の象徴・LINEヤフーで情報流出が相次ぐ理由…動きが遅すぎる巨象

　LINEヤフーで情報流出事案が相次いでいる。同社は27日、サーバーがサイバー攻撃を受けてトークアプリ「LINE」の利用者情報など約44万件が流出した可能性があると発表。旧LINEは21年に業務委託先の中国企業から日本国内にあるサーバーのLINE利用者の個人情報が閲覧可能な状態であったことが発覚。今年8月には旧ヤフーが利用者のデータを韓国ネイバーに提供していたことがわかり、総務省から行政指導を受けている。国内最大級のIT企業であるLINEヤフーで、なぜ大規模な情報流出事案が頻発しているのか。業界関係者の見解も交え追ってみたい。

　LINEヤフーがグループとして手掛けるサービスは多岐にわたる。LINEやポータルサイト「Yahoo！JAPAN（ヤフー）」のほか、QR決済サービス「PayPay」、デリバリーサービス「出前館」、ファッションECサイト「ZOZOTOWN」、オフィス用品ECサイト「アスクル」、旅行予約サイト「一休.com」などを展開。売上高にあたる売上収益は1兆9000億円（2024年3月期予想）に上る巨大IT企業だ。ちなみにライバルとされる楽天グループ（G）の22年12月期の売上収益は1兆9279億円となっており、両者は肩を並べるが、経常損益を比較すると楽天グループGが4079億円の赤字（22年12月期）である一方、LINEヤフーの前身であるZホールディングス（HD）は2352億円の黒字（23年3月期）と対照的だ。

　そのLINEヤフーで情報流出が相次いでいる。ZHDとLINEが経営統合した直後の21年3月、旧LINEの業務委託先である中国の関連会社から、LINEユーザの個人情報データにアクセス可能な状態だったことが発覚。個人情報には氏名、電話番号、利用者が保存したメッセージ、画像などが含まれており、LINEは政府の個人情報保護委員会に報告。利用者間でやりとりされる画像や動画などのデータが韓国で管理されている実態も浮き彫りとなった。

「LINEはプライバシーポリシーで『パーソナルデータを第三国に移転することがある』と明記しており、委託先では業務に必要な範囲でアクセス権限をつけて管理していた。また委託先へのデータの移転などもなかったため、グレーとはいえ明確に何かに違反しているとまではいえないものの、LINEとしては『ユーザーが感じる気持ち悪さに対応するセンスや配慮がなかった』（出沢剛社長／当時）と表現せざるを得ない微妙な事案だった」（中堅IT企業役員）

　だがその影響は大きく、経営統合による大きな相乗効果とされた両社のID連携は先送りとなり、その実現は今年10月にまでずれ込むこととなった。

　さらに今年8月には、旧ヤフーが利用者のデータを韓国ネイバーに提供していたことが発覚。旧ヤフーは5月18日から7月26日にかけて、検索エンジン技術の開発・検証のため、ネイバーに利用者の検索関連データを提供。提供されたのは約410万件の位置情報を含む約756万件のユニークブラウザ分のデータであり、ネイバーは当該データを物理的にコピー可能な状態だった。旧ヤフーは10月のLINE、ZHDとの合併に伴い、検索エンジン技術を新会社の大株主となるネイバーのものに変更することを検討中とみられ、その検証テストにおいてネイバーへのデータ提供が行われたという見方が広まった。

IT企業らしからぬ動きの遅さ

　情報流出が相次ぐ背景に、LINEヤフーをめぐる複雑な組織構造を指摘する声もある。LINEとZHDは21年3月に経営統合し、ZHD傘下に子会社としてLINEとヤフーがぶら下がる形態に移行。今年10日1日付けで3社とZ Entertainment、Zデータが合併しLINEヤフーとなり業務を続けている。そのLINEヤフーは前述のとおり様々なサービスを展開しているが、提供元となっているのは、出資先であるPayPay、出前館、ZOZO、アスクル、一休というそれぞれ独立した企業。さらにLINEヤフーの上には中間持ち株会社としてAホールディングス（HD）がおり、そのAHDにソフトバンクと韓国ネイバーが出資するという形態となっている。LINEヤフーはソフトバンクの連結子会社という位置づけであり、加えて大株主であるネイバーの影響下にもある。

「LINEヤフーは売上こそ大きいものの、個々のサービスの寄せ集めでパッチワーク的な状況。組織も寄せ集め所帯なのに加え、上にはソフトバンクとネイバー、下には多数の関連会社を抱え、ガバナンスが利きにくい。特に技術陣は各サービスごとに完全に独立しており、全体を横串で刺して個人情報を管理する体制が整備されていないのでは。

　気になるのがIT企業らしからぬ動きの遅さだ。たとえばLINEとヤフーのユーザID連携が始まったのはZHDとLINEが経営統合してから2年半も経過した今年10月で、LINEとPayPayの連携は未実施。当初は22年に予定されていたLINE PayとPayPayの統合もいまだに行われていない。組織だけは一つになったものの、旧LINEと旧ヤフーそれぞれの組織もサービスも存在感が大きすぎて、個人情報保護をはじめとする共通の取り組みが進んでいない様子がうかがえる」（大手IT企業関係者）

情報公開が遅れた企業体質の問題

　ITジャーナリストの三上洋氏はいう。

「特に21年3月の件は、中国の委託先に関するもので、中国では企業は政府から要請があればいかなる情報をも提供しなければならないと定める国家情報法があることから、日本政府は重く受け止め、世間からも大きな批判を浴びた。そして今年8月の件は韓国ネイバーへのデータ提供、今回の件はサイバー攻撃によるものと、3つとも性格が異なる事案だが、共通しているのはネイバーがらみであるという点。今回もネイバー子会社の委託先がサイバー攻撃を受け、この子会社と旧LINEが社員向けシステムで共通基盤を使っていたため、この子会社を介してLINEのサーバが不正アクセスを受けた。もともと旧LINEはネイバーの子会社だったため仕方がない部分はあるものの、現在では保有比率が高いとはいえ一株主にすぎないネイバーとLINEヤフーが『やはり一体なのではないか』という疑念を我々ユーザは抱いてしまう。

　また、今回の件ではLINEヤフーの企業体質に問題だと感じられる点がある。同社が不正アクセスの可能性を検知し調査を開始したのは10月であり、公表までに1カ月以上を要している。同社は影響範囲を調査するためだったと説明しているが、10月といえば、LINEとヤフーの利用者ID連携がスタートしたことでLINEヤフーが提供する各種サービスでは、利用者にプライバシーポリシーへの同意を求める画面を出していた。あの同意画面を一言でまとめるなら『LINEヤフーのサービスを利用するなら弊社を信頼してくださいね』と合意を求めるものだが、その一方で同社は重大なセキュリティ事案を隠していたとも受け取れる。速やかに事実を公表すべきだったのではないか」

（文＝Business Journal編集部、協力＝三上洋／ITジャーナリスト）