オンラインフィットネス「LEAN BODY」に不正アクセス。分析ツールMetabaseの脆弱性から約44万件の顧客情報

01発表されている事実

1. 8月11日

   同社の環境への最初の不正アクセス

2. 8月31日・9月7日

   データベースからお客様の情報を取得される

3. 9月8日

   異常を検知し、調査を開始

4. 9月9日

   再び情報を取得される。同日、経路を遮断し、ツールを修正版に更新

5. 9月11日

   個人情報保護委員会に速報を提出

6. 9月15日

   公表。対象者へのメールを順に送り始める

7. 10月13日

   Metabaseの利用を終え、外から接続できない環境に移行

8. 10月23日

   個人情報保護委員会に確報を提出

取得の対象は、お客様が登録していた項目です。メールアドレス、ニックネーム、性別、生年月日、都道府県、身長・体重・目標体重などサービスで入力した情報、登録日時や利用状況の記録、暗号化された状態のパスワード、決済サービス上の識別番号やクレジットカード番号の下4桁などです。法人の福利厚生制度で使っていた一部の人は、氏名・法人名・従業員番号も含まれます。

一般の会員の氏名と、カード番号全体・セキュリティコードは同社のデータベースにないため、対象外です。パスワードの解読に必要な情報は取得されておらず、元のパスワードが分かる可能性は低いとしています。アカウントの不正利用や不正な請求は、発表の時点で確認されていません。対象には、法人や健康保険組合などを通じて使っていた人も含まれます。保健指導の一環で案内していた健康保険組合からも、加入者向けのお知らせが出ています。

02読者への影響と今すぐやること

1. 念のため、LEAN BODYのパスワードを設定ページから変える。同じパスワードをほかのサービスで使っていれば、そちらも変える
2. 同社からの連絡は noreply@lean-body.jp、問い合わせへの返信は support@lean-body.jp から届く。ほかのアドレスや、パスワード・支払い情報の入力を求めるメールは偽物として扱う
3. 生年月日や体重など、ほかに知られたくない情報を使った詐欺の連絡に注意する
4. 会社や健康保険組合の制度で使っていた人は、案内が届いていないか確かめる

03会社が同じことを防ぐには

BIツール（社内のデータを集計して見る道具）は、データベースに広くつながる強い権限を持ちがちです。社員しか使わない道具でも、インターネットから届く状態なら狙われます。同社も、ツールの脆弱性情報を毎日確認する運用に切り替え、最終的にはMetabaseの利用をやめて、外から接続できない環境に移りました。社内ツールも含めて外から届くものを洗い出し、更新を後回しにしない、データベースへの権限を必要最小限にする、の2つが基本です。自社で見きれない場合は、脆弱性診断を頼む方法もあります。

04今後の発表

同社は、開示すべき新しい事実が分かれば速やかに知らせるとしています。