グリーンモンスター「FXなび」のユーザー情報の取得のおそれ｜公表と続報のまとめ

何が起きたか

2026年10月23日、グリーンモンスターは、FX デモトレードアプリ「FX なび」のユーザー情報等約619万件が、第三者に取得されたおそれがあると公表しました（グリーンモンスターの2026年10月23日の発表・第一報）。 10月17日にアプリへの不正なアクセスを確かめて調べる中で、2026年4月27日から30日にかけて、別の IP アドレスの第三者がアプリからユーザー情報等を続けて取得していたおそれがあると分かったとしています。原因はアプリの API の機能としています。 対象は、メールアドレス66,003件、初回アンケートの回答4,809,631件、引き継ぎコード5,120件のほか、性別・年代・職業の分類・端末の ID・ログイン用の認証情報などです。氏名・住所・電話番号・カード・口座などは登録の項目にないとしています。

会社の対応

• API の機能とログイン用の認証情報を修正し、修正前に発行した認証情報をすべて無効にした
• 外部の専門家の助言を受けて、原因と影響の範囲を調べているとしている
• 「株たす」「トウシカ」も調べ、取得された事実は確認されていないとしている
• 具体的な再発防止策は調査の結果を踏まえて改めて知らせるとしている
• 偽のメールへの注意を呼びかけ、投資の勧誘をしないことを案内している

この事例から中小企業が学べること

• アプリや Web サービスの API が、画面に出さない項目まで返していないかを確かめる
• 同じ相手からの大量の取得を止める・知らせる仕組みを入れる
• API のアクセスの記録を、後から調べられる期間残す
• 認証情報が漏れたおそれがあるときに、全部を無効にして発行し直す手順を決めておく