LEAN BODYの分析ツールに不正アクセス｜約44万件の顧客情報が取得される

オンラインフィットネスのLEAN BODYが2026年9月15日、社内のデータ分析に使っていたツール「Metabase」の脆弱性を突かれ、データベースから顧客情報が取得されたと公表しました。 対象は退会した人を含めて約44万件のアカウントです（LEAN BODYの発表）。 社内の分析ツールやダッシュボードをインターネットから使えるようにしている会社は、更新の状況を確かめる必要がある事例です。

公表された内容

• 件数：約44万件のアカウント（2026年9月15日の発表）。1人で複数のアカウントを持つ場合があり、実際の人数はこれより少ない見込みとしています。法人や健康保険組合などを通じて使っている人も含まれます
• 情報の種類：メールアドレス、ニックネーム、性別、生年月日、都道府県、身長・体重・目標体重などサービス内で入力した情報、利用状況の記録、暗号化されたパスワード、契約・支払いの情報（決済サービス上の識別番号、請求・返金の記録、クレジットカード番号の下4桁など）。法人の福利厚生で使っている一部の人は、氏名・所属する法人名・従業員番号も含まれます
• 含まれない情報：カード番号の全体とセキュリティコードは、決済代行サービスに直接預ける仕組みのため保存していないとしています。パスワードは暗号化して保存し、解読に必要な情報は取得されていないとしています
• 時期：8月11日に最初の不正アクセス、8月31日と9月7日に顧客情報が取得され、9月8日に異常を検知。9月9日に再び取得されたため、同日に経路を遮断し、ツールを修正版に更新したとしています
• 原因：Metabase の脆弱性を突かれたこと。同社は、脆弱性の情報を定期的に確かめて更新することができていなかったことも要因になった可能性が高いと認識しているとしています。CVE 番号や使っていた版は公表されていません
• 二次被害：会員情報の書き換え、アカウントの不正利用、不正な請求は、発表の時点で確認されていないとしています

会社の対応

• ツールの更新、外部からの接続経路の遮断、全セッションの無効化、不正に作られたアカウントとアクセスキーの無効化、接続情報の再発行
• ログの保存期間を延ばし、ツールに与えていたデータベースへの権限を必要な最小限に制限
• 9月11日に個人情報保護委員会へ速報を提出
• 10月15日の追記で、10月13日に Metabase の利用を終え、外部から接続できる経路を持たない環境へ移ったこと、社内のソフトウェア全体で脆弱性の情報を毎日確かめて期限を決めて更新する運用を始めたことを公表
• 利用者にはパスワードの変更と、同社をかたる不審なメール・SMS への注意を呼びかけています

中小企業が今日からできること

• 社内で使うツールのうち、外から開けるものを洗い出す：分析ツール、ダッシュボード、管理画面など、インターネットから接続できるものを一覧にし、外から開く必要がないものは社内のネットワークか VPN の内側に移す
• ツールの版を確かめ、更新の担当と期限を決める：使っているソフトの版と最新版を比べ、修正版が出たら何日以内に当てるかを決めておく。製品の会社のお知らせや JVN の更新を誰が見るかも決める
• 分析ツールに渡す権限を最小限にする：データベースへの接続は読み取りだけにし、個人情報の列や表は見えないようにする。全部の表を読める管理者の権限で接続していないか確かめる
• ログを長めに残す：この事例では最初の侵入から検知まで約1か月でした。アクセスの記録を数か月は保存し、普段と違う大量の取り出しに通知が出るようにする
• 会員のパスワードは安全な形で保存する：自社で会員のパスワードを持つ場合は、元に戻せない形で保存し、解読に使う情報を別の場所で管理しているかを確かめる