あなたが毎日楽しむスマホゲームに、もし安全対策の『死角』が生じていたらどうしますか。大人気ゲーム『LINE ポコポコ』などで、実に610万人分ものユーザーデータが外部送信されていたことが判明しました。身近なエンタメに潜むセキュリティの落とし穴と、企業が直面した設定ミスの真相に迫ります。
4年にわたり送信された識別子と不十分だった設定管理
大人気ゲーム「LINE ポコポコ」「LINE ポコパンタウン」「LINE ポコパン」を運営するLINEにおいて、長期間にわたりユーザーデータが外部の広告ツールへ送信されていたことが明らかになりました。対象期間は2022年5月25日から2026年4月上旬までにおよび、影響を受けたユニークユーザー数は実に約610万人、日本国内だけでも約574万人にのぼります。この事態は、パートナー企業が広告表示を分析するために導入していた外部ツールの設定を変更する際、確認作業が不十分だったために発生しました。2022年の発生から2026年4月の判明まで、4年近くにわたり本来は送信する必要のないデータが流出し続けていたことになります。
送信されていたのは、システム上でユーザー個人を識別するためのランダムな文字列である「内部識別子」です。これは友だち追加等に用いられる「LINE ID」とは異なるものであり、ユーザーの氏名、住所、電話番号、クレジットカード番号や銀行口座といった重要な個人情報は一切含まれていませんでした。また、ゲームをゲスト状態で利用していたため個人が特定できない状態で送信された件数も、全体で約93万件（国内約86万件）存在します。問題のツールを提供していた外部企業は該当するデータをすでに削除しており、情報の不正利用や二次被害の報告は現時点で確認されていません。
LINE側は2026年4月1日に本事象を検知し、同月3日にはツールの修正を完了して送信を完全に停止しました。対象となったユーザーに対しては個別に順次案内を進めており、ユーザー側での対応は不要としています。また、本来送信する必要のないデータが送信されていた事実が、同社のプライバシーセンターに記載されていなかったことも判明しています。今回の不手際を深く反省し、今後は再発防止に向けた確認体制の強化に努める方針です。ゲームという身近なサービスにおける設定漏れが、大規模なデータ送信へと繋がった今回の事例は、企業のデータ管理におけるガバナンス体制の重要性を改めて提示しています。
見解として、今回の事象は高度なサイバー攻撃ではなく、設定ミスという単純なヒューマンエラーが引き起こしたガバナンスの緩みが原因です。 複数企業が絡む外部ツールの連携においては、定期的な監査と設定の相互確認を徹底する運用プロセスの確立が急務と言えます。
詳しくは「LINE」の公式ページまで。 レポート／DXマガジン編集部
