使っていた人が、いますぐやること
- 1
LEAN BODYの利用者念のため、設定ページからLEAN BODYのパスワードを変える
- 2
同じパスワードをほかで使う人ほかのサービスのパスワードも変える
- 3
全員LEAN BODYを名乗る不審なメールやSMSのリンクは開かない。会社がパスワードや支払い情報を聞くことはない。会社からの連絡は noreply@lean-body.jp から届く
被害にあっているときの手順を見る →
漏れた可能性がある情報約44万アカウント（退会者を含む）。一人で複数のアカウントがある場合があり、実際の人数はこれより少ない見込み
含まれていないもの一般会員の氏名（もともと取っていない）、カード番号の全体とセキュリティコード（決済代行会社が預かる）
いまの状況（調査完了）10月13日にMetabaseの利用をやめ、外部から接続できない環境へ移行。10月23日に個人情報保護委員会へ確報を提出
02HOW THEY WERE HACKED
どんなハッキングをされた？
ひとことでオンラインフィットネス「LEAN BODY」を運営する株式会社LEAN BODYは2026年9月15日、社内のデータ分析に使っていたツール「Metabase」の脆弱性（作りの弱点）を突かれ、データベースから顧客の情報が取られたと発表しました。対象は退会した人を含めて約44万アカウントです。会社はツールの更新が間に合わなかったことも原因になった可能性が高いとしています。10月13日にMetabaseの利用をやめ、外から接続できない環境に移しました。
1株式会社LEAN BODY ・ LEAN BODY分析ツールの脆弱性を突いた不正アクセス
脆弱性とは →
- STEP 1ツールの弱点から侵入
社内のデータ分析に使っていたMetabaseの脆弱性を突いて、第三者が入り込んだ
- STEP 2アカウントを作る
第三者がツールの中に不正なアカウントとアクセスキーを作っていた
- STEP 3顧客情報を取る
8月31日・9月7日・9月9日に、データベースから顧客の情報を取った
- STEP 4気づいて遮断
9月8日に異常に気づき、9月9日に経路を断ってツールを修正版に更新した
くわしい内容を見る ↓
手口データベースの中身を見たり分析したりするツール「Metabase」に、セキュリティ上の脆弱性がありました。第三者がそこを突いてツールに入り、つながっていたデータベースから顧客の情報を取りました。会社は、脆弱性の情報を定期的に確かめて更新することができていなかったことも、原因になった可能性が高いとしています。
- 侵入
- 2026年8月11日（最初の不正アクセス）
- 発覚
- 9月8日。会社が異常を検知
- 公表
- 9月15日。10月15日と10月27日に追記
- 影響の範囲
- 約44万アカウント（退会者を含む）。一人で複数のアカウントがある場合があり、実際の人数はこれより少ない見込み
- 情報の種類
- メールアドレス、ニックネーム、性別、生年月日、都道府県、身長・体重などの入力情報、利用の記録、暗号化されたパスワード、決済サービス上の番号とカード番号の下4桁など。法人の福利厚生で使う一部の人は氏名・法人名・従業員番号
- 含まれないもの
- 一般会員の氏名（もともと取っていない）、カード番号の全体とセキュリティコード（決済代行会社が預かる）
- 二次被害
- 情報の改ざん、アカウントの不正利用、不正な請求は確認されていない
- いまの状況
- 10月13日にMetabaseの利用をやめ、外部から接続できない環境へ移行。10月23日に個人情報保護委員会へ確報を提出
- 分析ツール
最初の不正アクセス
- データベース
顧客情報が取られる
- データベース
顧客情報が取られる
- 分析ツール
会社が異常に気づき、調査を開始
- データベース
情報が再び取られる。同じ日に経路を断ち、ツールを修正版に更新
- 会社
個人情報保護委員会へ速報を提出
- 会社
公表。対象の人にメールで順に連絡を始める
- 健康保険組合
愛知県情報サービス産業健康保険組合が、加入者に向けてお詫びを掲載
- 分析ツール
Metabaseの利用をやめ、外から接続できない環境へ移行
- 会社
個人情報保護委員会へ確報を提出
経路の遮断と更新脆弱性のあった接続経路を外から断ち、ツールを修正版に更新した
アクセスの無効化ツールの全セッションを切り、不正に作られたアカウントとアクセスキーを無効にした。接続情報も出し直した
権限とログツールに与えていたデータベースの権限を最小限にし、ログを残す期間を延ばした
ツールの廃止10月13日にMetabaseの利用をやめ、外部から接続できない環境へ移した
更新の運用社内のソフト全体の脆弱性情報を毎日確かめ、期限を決めて更新する運用を始めた
07ABOUT THE COMPANY
どんな会社？
パソコンやスマホで、さまざまなジャンルのフィットネスレッスンを受け放題で見られるオンラインフィットネス「LEAN BODY」を運営する会社です。
事業
- オンラインフィットネス「LEAN BODY」
- 動画のレッスン配信
- 会社名
- 株式会社LEAN BODY（英語名：LEAN BODY Inc.）
- 設立
- 2015年12月17日
- 本社
- 東京都渋谷区道玄坂1丁目22-9 AD-O渋谷道玄坂ビル 10F
- 代表者
- 中山 善貴（CEO）
- 従業員
- 11人
- 資本金
- 1億円
出典：会社の公式サイト「会社概要」
