概要

不正アクセスは2026年8月11日から始まり、顧客情報は複数回にわたって取得された。同社は9月8日に異常を検知し、9月9日に侵入経路を遮断してツールを更新した。脆弱性情報を定期的に確認せず、必要な更新もできていなかったことが要因となった可能性が高いと説明している。流出した可能性がある情報は、メールアドレス、ニックネーム、性別、生年月日、身長・体重、利用状況、暗号化されたパスワード、契約・支払いに関する情報など。パスワードの解読に必要な情報は別に管理しており取得されていないため、元のパスワードが判明する可能性は低いとしている。発表時点で、アカウントの不正利用、不正請求、サービス提供への影響は確認されていない。

経緯

経緯情報は未登録です。

原因

社内で利用する分析ツール「Metabase」が不正アクセスを受けた。脆弱性情報を定期的に確認せず、必要な更新もできていなかったことが要因となった可能性が高い。

攻撃手法

公表情報で確認できる攻撃手法はありません（推測による割り当ては行っていません）。

影響範囲

影響を受けたユーザー数

440,000

サービス停止

なし

金銭的被害

不明

対象システム

Metabase（分析ツール）

漏洩した情報

• 可能性ありメールアドレス
• 可能性ありニックネーム
• 可能性あり性別
• 可能性あり生年月日
• 可能性あり身長・体重
• 可能性あり利用状況
• 可能性あり暗号化されたパスワード
• 可能性あり契約・支払いに関する情報

退会者を含む約44万アカウントの顧客情報が複数回にわたって外部に取得された。発表時点で、不正利用、不正請求、サービスへの影響は確認されていない。

対応

9月9日に侵入経路を遮断し、ツールを更新した。9月11日に個人情報保護委員会へ速報を提出し、9月15日から対象者へのメール通知を順次始めた。

• 侵入経路の遮断
• Metabaseの更新
• 個人情報保護委員会への速報提出
• 対象者へのメール通知

教訓・対策

• 社内の分析ツールも脆弱性情報を定期的に確認し、速やかに更新する
• 本番データに接続する分析ツールは外部からアクセスできる範囲を限定する
• パスワード解読に必要な情報は別に管理する

参考資料

1. LEAN BODY、約44万アカウントの顧客情報流出 分析ツールへの不正アクセスで
   サイバーセキュリティ.com公開日: 2026-09-15報道二次情報取得日: 2026-11-01

関連情報

関連するCVE

関連付けられたCVEはありません。

関連組織

株式会社LEAN BODY

関連するインシデント

関連付けられたインシデントはありません。