LEAN BODY約44万件の情報漏えい、漏れたメールアドレス・体重・カード下4桁で何をされるのかまとめました

2026年9月15日、株式会社LEAN BODYは、オンラインフィットネス動画サービス「LEAN BODY」の顧客情報が外部に取得されていたと公表しました[1]。同社が社内のデータ分析に使っていたツール「Metabase」の脆弱性を突かれ、データベースからお客様情報が取得されたとしています。対象は退会者を含む約44万件のアカウントです。

取得の対象は、メールアドレス、ニックネーム、性別、生年月日、都道府県、身長・体重・目標体重などサービス内で入力した情報、利用状況の記録、暗号化されたパスワード、カード番号の下4桁を含む契約・支払いの記録などです[1]。クレジットカード番号の全体とセキュリティコードは、もともと保有していないとしています。パスワードは暗号化されていて、元のパスワードが判明する可能性は低いとしていますが、それで安心とは言い切れません。

「自分のメールアドレスや体重の記録で、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、取得された情報が悪用されうる場面と、LEAN BODYで認証が使われる場所を、公開情報から整理しました。事故の経緯は短くとどめます。

この記事の要点

• 体重や目標、契約の記録まで知ったうえで「LEAN BODY」を名乗る、もっともらしい偽メールが届きやすくなります。
• 同社のお願いどおり、LEAN BODYのパスワードを変え、同じパスワードを使っている他のサービスも見直しておくと安心です。
• 会社側がまず見直したいのは、窓口でアカウントを照会する時の本人確認と、メールだけで完結するパスワード再設定です。

なお、本記事は公表文や公式ヘルプなど、公開情報だけをもとにしています。ログイン画面を実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

公表文[1]と、同社の補足Q&A[2]によると、概要は次のとおりです。

取得された情報で、何ができてしまうか

今回の項目の特徴は、連絡先に加えて「その人の体と目標」と「契約と支払いの記録」がそろっている点です。

送り主を偽ったSMSが、本物と同じ画面に並ぶ手口も知られています[6]。同社も、不審なメールやSMSへの注意を呼びかけています[2]。

LEAN BODYで認証が使われる場所

公式ヘルプとアプリストアの説明で確認できた範囲で、認証が関わる場所を並べました。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

会社がまず見直すとよい所（優先順）

公表文の対策は、ツールの更新、外部からの接続の遮断、不正に作られたアカウントやアクセスキーの無効化、ツールのデータベース権限の最小化などです[1]。利用者のログインや再設定の確認方法を変えるといった記載はありませんでした。認証の観点からは、次の順で見直すことが考えられます。

1. 窓口での照会の確認項目から、今回の項目を外す。カード下4桁や請求の記録は、今回取得の対象になりました。これらが合えば本人と見なす扱いになっていないか。仕組みを作り直さなくても、運用の見直しから始められます。

2. パスワード再設定に、メール以外の確認をもう一つ足す。メールだけで完結する形だと、偽メールに引っかかった人や、メールを乗っ取られた人を守れません。

3. 連絡先の変更や新しい端末の登録など、アカウントを持ち主から引きはがせる場面に、追加の確認を入れる。毎回のログインを重くせず、狙われる場面だけを固めるという考え方です。

認証の観点から：「知っている」と「持っている」は違う

今回の事故は、利用者のログインではなく、社内の分析ツールから起きました。それでも、取得された情報が次に使われるのは、利用者のログインや窓口です。カード下4桁や請求の記録のように「知っている情報」が合えば本人と見なす場所は、こうした事故のたびに弱くなります。

分けて考えたいのは、「知っていること」と「持っていること」は別物だという点です。前者は、情報が漏れれば第三者に知られえます。今回、電話番号は取得の対象に含まれていませんが、電話番号も同じで、漏れれば「知られる」情報です。一方で、その電話番号の回線を実際に持っていることは、情報が漏れても変わりません。

SMSで届く確認コードも「持っているか」を確かめる方式の一つです。ただし米国NISTのガイドラインは、SMSなど電話網を使う確認方法を「制限付き（restricted）」の手段と位置づけています[10]。禁止ではありませんが、SIMの切り替えや電話番号の乗り換え（ポーティング）といったリスクを踏まえ、それだけに頼りきらない設計が求められています。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

今のログインを壊さずに「持っているか」の確認を足す方法については、お気軽にご相談ください。

お問い合わせはこちら