何が起きたか
この事故で流出した、または流出したおそれがある情報は、退会者を含む約44万アカウントのメールアドレス・ニックネーム・性別・生年月日・都道府県・身長・体重など。暗号化されたパスワード、カード番号の下4桁、法人経由の一部利用者の氏名・所属法人名・従業員番号も含むです。その後の対応と影響は、9月9日に経路を遮断しツールを修正版に更新した。不正に作られたアカウントとアクセスキーを無効にし、9月11日に個人情報保護委員会へ速報を出した。9月15日に公表して対象者へのメール送付を始め、Metabaseの利用を終える方針としたです。
原因になったのは「分析ツール「Metabase」の脆弱性」です。公表された内容では、生成AIは事故に関わっていません。
- 中心 直接の原因報道
社内のデータ分析に使っていたツール「Metabase」の脆弱性を悪用され、第三者がツールに入り、データベースから顧客情報を取得した。
- 1つ外側 流出した情報報道
退会者を含む約44万アカウントのメールアドレス・ニックネーム・性別・生年月日・都道府県・身長・体重など。暗号化されたパスワード、カード番号の下4桁、法人経由の一部利用者の氏名・所属法人名・従業員番号も含む。
- いちばん外側 その後の対応と影響報道
9月9日に経路を遮断しツールを修正版に更新した。不正に作られたアカウントとアクセスキーを無効にし、9月11日に個人情報保護委員会へ速報を出した。9月15日に公表して対象者へのメール送付を始め、Metabaseの利用を終える方針とした。
なぜ起きたか
報道によると、8月11日に最初の不正アクセスがあり、8月31日と9月7日にデータベースから顧客情報が取得された。9月8日に異常を検知したが、9月9日にも再び取得された。脆弱性の番号やツールの版は公表されていない。
原因の種類は「不正アクセス」です。第三者がシステムに入り、情報を見たり持ち出したりした事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は131件あります。
事故が起きてから公表されるまで
- 8月11日、分析ツールへの最初の不正アクセスがあった
- 8月31日と9月7日、データベースから顧客情報が取得された
- 9月8日に異常を検知し、9月9日に経路を遮断して修正版に更新した
- 9月11日、個人情報保護委員会へ速報を出した
- 9月15日、公表し対象者へのメール送付を始めた
どうすれば防げたか
上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。
止められた可能性がある所（当社の見立て）社内の分析ツールをインターネットから接続できない場所に置き、ツールに渡すデータベースの権限を必要な範囲に絞っておけば、侵入や取得の範囲を減らせた可能性がある。
この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。
自社で確認する3つの手順
上から順に、短い時間で確認できるものを並べています。
- 社内の分析ツールにインターネットから接続できるかを確かめる
- 分析ツールの版を確かめ、公表済みの脆弱性に対する修正版を当てているか確かめる
- 異常を検知してから経路を遮断するまでの手順と担当を決める
自社に同じ原因があるか
当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。
出典と更新の履歴
- 不正アクセスによるお客様情報の流出に関するお詫びとお知らせ（LEAN BODY）2026.09.15
- LEAN BODY が利用する分析ツール「Metabase」の脆弱性を悪用した不正アクセス（ScanNetSecurity）2026.10.05
- LEAN BODY 不正アクセスの概要（issoh）2026.09.15
