Integral Security Reportインテグラル セキュリティ レポート
← 一覧に戻る
2026-lean-bodyその他最終確認 2026-10-14 17:47

LEAN BODYの分析ツールMetabaseへの不正アクセス（脆弱性悪用・顧客情報取得、件数は未公表）

公表日

株式会社LEAN BODY
調査中不正アクセス脆弱性悪用

株式会社LEAN BODYは2026年9月15日、社内の分析ツール「Metabase」の弱点を突かれて不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、顧客情報を取得されたと発表しました。対象の人数や情報の項目は、まだ発表されていません。

対象者は？

LEAN BODYの顧客情報が対象です。何人分か、どの情報（氏名・連絡先など）が含まれるかは、まだ発表されていません。取得された情報が公開・販売・悪用された事実は、9月15日の公式発表からは確認できないとされています。

確認方法はまだ発表されていません。LEAN BODYからの案内や公式のお知らせを確認してください。

LEAN BODY、分析ツール「Metabase」への不正アクセスで顧客情報を取得される（セキュリティ対策Lab） ↗LEAN BODY が利用する分析ツール「Metabase」の脆弱性を悪用した不正アクセス（ScanNetSecurity） ↗

いますぐできること

  • LEAN BODYの顧客の方は、同社からの案内や公式のお知らせが出ていないか確認する。
  • 会社でMetabaseを使っている場合は、修正済みの最新版に更新する。すぐ更新できないときは、/api/session/reset_passwordへのアクセスを一時的にふさぐ。
  • Metabaseを使っている場合は、侵害されていないかログも確認する。

何が起きたのか

2026年9月15日14時、LEAN BODYは、社内のデータ分析に使っていたツール「Metabase」に弱点があり、第三者がそのツールに不正にアクセスして、同社のデータベースから顧客情報を取得したことを確認したと発表しました。この発表では、弱点の番号（CVE番号）や使っていたMetabaseのバージョンは示されていません。同社はMetabaseの利用をやめ、より安全な環境へ移る方針です。なお、8月にはMetabaseの重大な弱点（CVE-2026-72898）が見つかり、悪用も確認されていましたが、LEAN BODYの件がこの弱点によるものかは断定できません。

なぜ起きたのか・なぜ広がったのか

LEAN BODYの原因について、Metabaseの弱点が悪用されたこと以上の詳しい内容は、まだ発表されていません。Metabaseでは8月に、ログインなしでデータベースに命令を送れる重大な弱点が公表され、公開後に実際の攻撃が確認されていました。ただし、LEAN BODYの件との関係はわかっていません。

いまの状況2026-10-14 時点続報待ち

2026年10月14日時点で、対象人数・件数、取得された情報の項目、個人情報保護委員会や警察への報告状況は、まだ発表されていません。LEAN BODYはMetabaseの利用をやめて別の環境へ移る方針ですが、移行先の中身も発表されていません。続報待ちです。

企業として考えたいこと

自分の会社で使っている分析ツールや社内ツールは、インターネットから見える状態になっていないでしょうか。つながっているデータベースに、どんな顧客情報が入っているでしょうか。

技術的な要約

株式会社LEAN BODYは2026年9月15日14時、社内のデータ分析に利用していたツール「Metabase」の脆弱性が悪用され、第三者が不正アクセスして同社データベースから顧客情報を取得したことを確認したと公表した。同社の発表ではCVE番号や利用していたMetabaseのバージョンは示されておらず、CVE-2026-72898の悪用と断定することはできない。対象人数・件数や取得された情報項目、個人情報保護委員会や警察への報告状況は、調査時点で確認できる範囲では未公表である。LEAN BODYはMetabaseの利用をやめ、より安全な環境へ移る方針を掲げているが、移行先の構成は公表されていない。取得情報の販売・公開・不正利用は、9月15日の公式発表からは確認できない。

公開情報が限られている点について
渡された出典はすべて報道で、LEAN BODYの公式発表は含まれない。侵入日、検知日、対象件数、情報項目、業務停止の有無・期間、当局への報告状況は出典になく null または空とした。判定の②④⑥fの根拠（業務停止9日、約6万件、高機微データ、他組織の認証情報）は、LEAN BODYに関する facts では確認できない。
侵入
—
被害発生
—
検知
—
第1報公表
2026-09-15 14:00
最新続報
2026-10-09
侵入 → 検知
—
侵入日が非公表
検知 → 公表
—
データ（上限）
—
確定 —
波及先
—

攻撃の分類

侵入口
公開サーバの脆弱性公表で確認
LEAN BODYは、利用していた分析ツール「Metabase」のセキュリティ上の脆弱性が悪用され、第三者が同ツールへ不正アクセスし、同社データベースから顧客情報を取得したと公表した。CVE番号・Metabaseのバージョン・公開状態やセルフホストかクラウドかは示されていない。
脆弱性
CVE 非公表公表で確認
Metabase
LEAN BODYは9月15日の発表で、Metabaseの脆弱性が悪用されたと説明したが、CVE番号や利用バージョンは示していない。
CVE-2026-72898不明
Metabase
認証不要のSQLインジェクションでCVSS 10.0。2026年8月にMetabaseが修正版を公開しCISAがKEVに追加した。LEAN BODYの事案で悪用された脆弱性と断定する根拠は出典にない。
攻撃者
特定・主張なし
ATT&CK
T1190 Exploit Public-Facing ApplicationT1213 Data from Information Repositories

影響

業務停止
あり LEAN BODYはMetabaseの利用をやめ、より安全な環境へ移る方針を掲げた。業務停止の期間や顧客向けサービスへの影響は出典に記載がない。
データ
確定上限 —確定 —
LEAN BODYは顧客情報の取得を確認したと公表したが、対象人数・件数と情報項目は未公表。なお約6万件という数字はJGC Digitalの事案に関する報道で、LEAN BODYの数字ではない。
波及先
—
金銭影響
—
サプライチェーン
LEAN BODYが利用していたMetabaseの脆弱性が悪用された。Metabase Cloudとセルフホストのどちらを利用していたかは出典にない。他組織への波及は確認できない。

時系列

  1. 2026-08-02
    海外でMetabaseの脆弱性（CVE-2026-72898）が悪用されていたとする情報が確認されている。4
  2. 2026-08-03
    MetabaseがMetabase Cloud顧客から、通常業務時間外にAPIキーが作成されているとの報告を受け、同一IPから複数顧客環境への異常なAPI操作を確認した。5
  3. 2026-08-06
    MetabaseがMetabase Cloudへの攻撃を公表し、セルフホスト向けの修正版を公開した。145
  4. 2026-08-10
    CVE-2026-72898が公開された。Wizは同日時点で公開PoCを確認したと報告した。14
  5. 2026-08-11
    CISAがCVE-2026-72898をKnown Exploited Vulnerabilities Catalogへ追加した。5
  6. 2026-08-14
    JPCERT/CCがCVE-2026-72898について注意喚起し、更新と侵害の有無の確認を呼びかけた。34
  7. 2026-08-27
    Metabaseが、Metabase Cloud顧客の3％未満が侵害されたと説明した。5
  8. 2026-09-15 14:00
    LEAN BODYが、Metabaseの脆弱性悪用による不正アクセスと顧客情報の取得を確認したと公表した。56
  9. 2026-09-18
    JGC Digitalが、Metabaseへの不正アクセスを公表した（別組織の事案。同社は9月16日に異常を検知）。7
  10. 2026-10-08
    JPCERT/CCが、国内組織で相次ぐ不正アクセスについて注意喚起（JPCERT-AT-2026-0030）を発行し、攻撃手法・痕跡・対策のページを公開した。123
  11. 2026-10-09
    JPCERT/CCが注意喚起を更新した。1

技術解説

LEAN BODYの公表内容 事実

株式会社LEAN BODYは2026年9月15日14時、社内のデータ分析に利用していたツール「Metabase」にセキュリティ上の脆弱性があり、第三者が同ツールへ不正アクセスを行って同社データベースから顧客情報を取得したことを確認したと公表した。同社の発表では、CVE番号や利用していたMetabaseのバージョンは示されていない。対象人数・件数、取得された情報項目、個人情報保護委員会や警察への報告状況は、渡された出典では未公表である。取得情報が外部に公開・販売・不正利用された事実は、9月15日の公式発表からは確認できないとされる。LEAN BODYはJGC Digitalとともに、Metabaseの利用をやめ、より安全な環境へ移る方針を掲げたが、移行先の構成は公表されていない。

MetabaseのCVE-2026-72898の概要と経過 事実

CVE-2026-72898は、MetabaseのSQLインジェクション脆弱性である。パスワード再設定用APIを通じ、ログインなしで遠隔の第三者がアプリケーションデータベースに任意のSQLを実行でき、管理者権限の取得につながる。CVSSは10.0と評価された。Metabaseは8月3日にMetabase Cloud顧客からの報告を受けて異常なAPI操作を確認し、8月6日に攻撃を公表してセルフホスト向け修正版を公開した。8月10日にCVEが公開され、11日にCISAがKEVカタログへ追加し、14日にJPCERT/CCが注意喚起した。8月27日、Metabaseは、Metabase Cloud顧客の3％未満が侵害されたと説明した。更新できない場合の一時的回避策は/api/session/reset_passwordへのアクセス遮断である。これは脆弱性一般の情報であり、LEAN BODYでの悪用が確認されたものではない。

LEAN BODYの事案との関係の読み方 解釈

LEAN BODYが示したのは「Metabaseの脆弱性の悪用」までで、CVE番号とバージョンは出ていない。そのため、時期や製品が重なっていても、CVE-2026-72898の悪用と結びつけるのは推測にとどまる。JPCERT/CCは、一連の攻撃が1つの共通する脆弱性によるものではなく、すべての事案で同一の手法が使われているわけではないとしている。Metabaseには同時期に別のSQLインジェクション脆弱性CVE-2026-72899も公表されており、どの脆弱性が関係したかは、現時点の公開情報では判別できない。侵入日や、Metabase Cloudとセルフホストのどちらを使っていたかも示されていないため、影響範囲の評価は同社の続報を待つ必要がある。

公表の評価と今後の確認点 解釈

今回の公表は、原因となった製品を示し、利用停止の方針まで述べている点で、同じツールを使う組織が自社環境を点検する手がかりになる。一方、対象人数・件数や情報項目が示されていない現時点では、顧客が自分に影響があるかを判断しにくい。これは調査が続いていることによる可能性があり、公表の姿勢を断定的に評価することはできない。同時期にJGC Digitalも別事案としてMetabaseへの不正アクセスを公表しており、約6万件という数字は同社に関する報道である。LEAN BODYの件数と混同しないよう注意したい。今後は、件数・情報項目・当局への報告状況が示されるかが確認点になる。

対応

封じ込め
LEAN BODYはJGC Digitalとともに、Metabaseの利用をやめ、より安全な環境へ移る方針を掲げた。移行先の構成は公表されていない。
公表の仕方
2026年9月15日14時に、Metabaseの脆弱性悪用による不正アクセスと顧客情報の取得を公表した。CVE番号、Metabaseのバージョン、対象人数・件数、取得された情報項目は示されておらず、個人情報保護委員会や警察への報告状況も未公表である。
当局対応
—

教訓と対策

教訓具体的な対策
分析・BIツールは接続先データベースの情報を読み出せるため、社内ツールでも攻撃の入口になりうる。Metabaseなどの管理画面をインターネットに公開せず、VPNやIP制限の内側に置く。接続用DBアカウントは読み取り専用・必要テーブルのみの最小権限にし、個人情報の列はビューでマスクする。
重大な脆弱性は公表から短期間で悪用され、公開PoCも出回る。利用中OSS・SaaSの資産台帳を作り、CISA KEVやJPCERT/CCの注意喚起を購読する。KEV掲載のCVEは数日以内に修正版へ更新する運用を定め、更新できない間は/api/session/reset_passwordの遮断など回避策を適用する。
修正版を適用しても、公開前後に侵害されていた可能性は残る。更新後に、POST /api/session/reset_passwordがHTTP 400、続いてGET /api/user/currentがHTTP 200となるログのパターンを検索する。あわせて不審な管理者・APIキーの作成を棚卸しし、見つかればキーと認証情報を再発行する。
自組織が使う製品とバージョンを即答できないと、影響確認と公表の内容が遅れ、粗くなる。SBOMや構成管理で製品名・バージョン・公開状態・Cloud/セルフホストの別を記録し、リバースプロキシとアプリのログを保管期間つきで一元保存する。インシデント時に侵入日と取得データを再構成できるようにする。
保管データが多いほど、侵害時の影響人数・項目が広がる。分析用データベースへ複製する個人情報は必要項目に絞り、保存期間を過ぎたデータを自動削除する。識別子は仮名化してから分析基盤へ渡す。

自組織などでの確認項目

  1. 自組織でMetabaseやその他のBI・分析ツールを使っているか。使っている場合、バージョンは修正版（x.58.24、x.59.21、x.60.17、x.61.11、x.62.9、x.63.5以降）か、インターネットから到達できる状態か。
  2. 分析ツールが接続しているデータベースには、どの個人情報が含まれるか。ツールが侵害された場合に読み出せる範囲を、最小権限の観点で説明できるか。
  3. KEV掲載や注意喚起が出てから、自組織の利用製品の更新と侵害有無のログ確認を何日以内に終えられるか。担当者と手順が決まっているか。
  4. 製品名・バージョン・対象人数・情報項目をどの時点でどう公表するか、自組織の方針は決まっているか。

未解明点

  • 対象となった顧客の人数・件数と、取得された情報項目は何か。
  • 悪用された脆弱性のCVE番号と、利用していたMetabaseのバージョンは何か。CVE-2026-72898と関係があるのか。
  • Metabase Cloudとセルフホストのどちらを利用していたか。侵入日、検知日、検知の経緯はいつ・どのようなものか。
  • 個人情報保護委員会や警察への報告状況はどうか。
  • 移行先の環境と再発防止策の具体的な内容はどのようなものか。

出典

  1. 1
  2. 2
  3. 3
  4. 4
  5. 5
    LEAN BODY、分析ツール「Metabase」への不正アクセスで顧客情報を取得される　脆弱性悪用を確認
    セキュリティ対策Lab（合同会社ロケットボーイズ）2026-09-17報道本文確認済
  6. 6
  7. 7