株式会社Lean on Me（リーンオンミー）は2026年10月27日、不正アクセスによる情報漏えいについて調査結果を公表しました。第三者に取得された個人データの本人の数は82,723人と確認され、10月26日には個人情報保護委員会へ確報を提出しています。
今回新たに明らかになったのは、対象人数に加え、「Special Learning」のレポート機能に記載された内容の一部に、要配慮個人情報が含まれていたことです。対象者には、同社または関係する法人を通じて個別通知を進めています。[1]
82,723人は事案全体の対象人数
82,723人という数字は、今回取得された個人データに係る本人の数です。障害福祉サービスを受ける利用者だけの人数、あるいは要配慮個人情報が含まれる人の人数として発表されたものではありません。
対象情報の具体的な内容は、9月28日の初報と10月27日の確報を併せて確認する必要があります。初報では、「Special Learning」「Special Shift」の現契約者に加え、過去のトライアル利用者や解約済みの顧客に関する情報も対象と説明されています。[1][2]
原因はデータ分析ツール「Metabase」への不正アクセス
9月28日の発表によると、同社が利用するデータ分析ツール「Metabase」のセキュリティ上の脆弱性が悪用され、第三者に顧客情報が取得されました。
対象として挙げられたのは、所属法人・事業所、氏名、メールアドレス、ハッシュ化されたパスワード情報、LINE IDなどです。顧客管理のためSalesforce上で管理し、Metabaseに連携していた氏名や連絡先、勤務先、商談・契約に関する情報、問い合わせ履歴も含まれます。
同社は、Salesforce自体への不正アクセスは確認されていないと説明しています。公表資料からは、悪用された脆弱性の具体的な識別番号や、攻撃の詳しい手順までは分かりません。[2]
レポートの一部に要配慮個人情報、支援記録全体の流出は確認できず
10月27日の確報では、Special Learningのレポート機能に記載された内容の一部に、要配慮個人情報が含まれていたとしています。ただし、具体的な記載内容や、この情報に関係する人数の内訳は示されていません。
このため、「支援記録全体が流出した」「82,723人全員の障害や健康に関する情報が取得された」とは断定できません。個別の影響は、同社や関係法人から届く通知で確認する必要があります。[1]
利用者と福祉事業所が確認したいこと
個人情報管理と通知内容の確認を表すAI生成のイメージです。実際のサービス画面ではありません。
同社はSpecial Learning利用者にパスワード変更を求めています。初報では、同じパスワードをほかのサービスでも使っている場合、そのサービスでも変更を検討するよう案内しています。また、同社を装う不審なメールや電話にも注意を促しています。[2]
福祉事業所の管理者は、法人宛ての案内と対象者への通知状況を確認してください。同社は対象法人に、個人情報保護委員会への連名報告について10月20日にメールで案内しています。連名報告を希望しない場合は、各法人で委員会への報告と対象者への通知が必要になると説明しています。[1]
今回の公表を踏まえた管理上の確認事項としては、次の点が挙げられます。以下は本件の原因を断定するものではなく、委託先管理を見直すための観点です。
- 外部サービスの自由記述欄に、個人を特定できる情報をどこまで入力しているか。
- 保存した情報が分析ツールなどへ連携される範囲を把握しているか。
- 契約終了後のデータ保存期間や削除条件を確認しているか。
- 事故発生時の連絡窓口と、本人への説明を担当する部署が決まっているか。
二次被害の確認状況と再発防止策
同社によると、10月27日の公表時点で、本件に起因すると考えられる不正利用などの二次被害は確認されていません。脆弱性を修正したバージョンへの更新、不正に作られたアカウントの削除、APIキーの無効化を実施し、ログ監視なども強化するとしています。[1]
二次被害が確認されていないことと、今後も被害が起きないことは同じではありません。対象者は通知内容とパスワード変更の案内を確認し、関係法人は自法人に求められる対応を整理することが大切です。
公表資料の確認基準日：2026年10月28日
出典
- 株式会社Lean on Me「【確報】不正アクセスによるお客様情報の漏洩に関するお知らせとお詫び」（2026年10月27日） https://leanonme.co.jp/2026-10-27/
- 株式会社Lean on Me「不正アクセスによるお客様情報の漏洩に関するお知らせとお詫び」（2026年9月28日） https://leanonme.co.jp/2026-09-28/
