グリーンモンスター「FXなび」から情報取得のおそれ｜約619万件、APIの機能が原因

グリーンモンスター株式会社は2026年10月23日、同社の FX デモトレードアプリ「FX なび」のユーザーのメールアドレスなどの情報が、第三者に取得されたおそれがあると公表しました（グリーンモンスターの2026年10月23日の発表・第一報）。 対象は約619万件で、個人情報に当たらないものも含むとしています。 FX なびを使っている人・使っていた人に関係します。

公表された内容

• 発覚：2026年10月17日、アプリへの第三者の不正なアクセスを確かめて調べ始めたとしています。このアクセスによる漏えいは確認されていないとしています
• 取得のおそれ：調べる中で、2026年4月27日20時26分ごろから4月30日14時26分ごろにかけて、別の IP アドレスの第三者がアプリからユーザー情報等を続けて取得していたおそれがあると分かったとしています
• 件数：約619万件（2026年10月23日の発表）
• 主な情報と件数：メールアドレス66,003件、性別142,578件、年代139,293件、職業の分類149,137件、X（旧 Twitter）の ID 6,434件、初回アンケートの回答4,809,631件、アプリの引き継ぎコード5,120件。このほか、ニックネーム・自己紹介・アイコン画像の URL・端末の ID・ログイン用の認証情報・プッシュ通知用の識別子・広告 ID・アクセス元の IP アドレス・成績などの利用データ
• 含まれないもの：氏名・住所・電話番号・生年月日・クレジットカード・銀行口座・マイナンバーは、そもそも登録の項目にないとしています
• 原因：アプリの API の機能によって、第三者が情報を取得できる状態だったと確かめたとしています
• ほかのサービス：「株たす」「トウシカ」も調べており、取得された事実は確認されていないとしています
• 二次被害：情報の公開やなりすましなどは確認されていないとしています

経緯

• 2026年4月27日〜30日：第三者がアプリからユーザー情報等を続けて取得していたおそれ
• 2026年10月17日：アプリへの不正なアクセスを確かめ、調査を開始
• 2026年10月23日：第一報を公表。API の機能とログイン用の認証情報を修正し、修正前に発行した認証情報をすべて無効にしたと説明

中小企業が今日からできること

• アプリや Web サービスの API が返す項目を確かめる：画面に出していないメールアドレスや認証情報まで API が返していないか、制作会社に一覧を出してもらい、要らない項目を外す
• 1つの相手からの大量の取得に気づける仕組みを置く：同じ IP アドレス・同じアカウントから短い時間に大量の取得があったら止める・知らせる設定（回数の制限）を入れる
• API の記録を半年以上残す：今回は半年前の取得が後から分かった。API のアクセスの記録を、後から調べられる期間残しておく
• 漏えいのおそれがあるときは認証情報を作り直す：ログイン用のトークンや鍵が漏れたおそれがあれば、全部を無効にして発行し直す手順を決めておく
• 投資の勧誘を装う連絡に注意を呼びかける：同社は投資の勧誘をしないと案内している。自社でも「メールでパスワードや口座を尋ねない」ことを客に知らせておく