LEAN BODYの分析ツールへの不正アクセス｜公表と続報のまとめ

何が起きたか

2026年9月15日、LEAN BODYは社内のデータ分析に使っていたツール「Metabase」の脆弱性を突かれ、データベースから顧客情報が取得されたと公表しました（LEAN BODYの発表）。 対象は退会者を含めて約44万件のアカウントで、メールアドレス・ニックネーム・性別・生年月日・身長や体重などの入力情報・暗号化されたパスワード・カード番号の下4桁などです。カード番号の全体とセキュリティコードは保存しておらず、含まれないとしています。 8月11日に最初の不正アクセスがあり、8月31日・9月7日・9月9日に情報が取得され、9月8日に異常を検知、9月9日に経路を遮断しました。同社は、脆弱性の情報を定期的に確かめて更新できていなかったことも要因になった可能性が高いと認識しているとしています。

会社の対応

• ツールの更新、外部からの接続経路の遮断、セッション・不正なアカウント・アクセスキーの無効化、接続情報の再発行
• ログの保存期間の延長、データベースへの権限の最小化
• 9月11日に個人情報保護委員会へ速報を提出
• 10月15日の追記で、10月13日に Metabase の利用を終え外部から接続できない環境へ移ったこと、社内のソフトウェア全体で脆弱性の情報を毎日確かめて更新する運用を始めたことを公表
• 利用者にパスワードの変更と不審なメール・SMS への注意を呼びかけ

この事例から中小企業が学べること

• 社内の分析ツールや管理画面を、インターネットから直接開けるようにしない
• 使っているソフトの版を確かめ、修正版を当てる担当と期限を決める
• 分析ツールに渡すデータベースの権限を最小限にする
• 侵入から検知まで日数がかかることがある。ログを長めに残し、大量の取り出しに気づけるようにする