最終更新：10 月 24 日 02:29（日本時間）
続報が出たら追記します。
すぐ見る：よくある疑問 ／ 取られたおそれがある情報 ／ FXなびを使っている人 ／ アプリや会員ページを持つ会社 ／ 技術的な詳細 ／ 経緯
ひとことで言うと
FX の練習アプリから、利用者の情報が半年前に取られていたかもしれない件（10 月 23 日の第一報まで）
- グリーンモンスターの FX デモトレードアプリ「FXなび」で、4 月 27 日〜30 日に、何者かが利用者の情報を取り続けていたおそれがあると分かった
- 対象は約 619 万件。メールアドレスやアンケートの回答などで、名前・住所・電話番号・カードや口座の情報は、もともと登録する項目にない
- 原因はアプリが情報をやり取りする仕組み（API）にあり、もう直してある。同社や関係する会社を装うメールに注意する
どうすればいい？
よくある疑問と答え
-
何が漏れた？
メールアドレス・ニックネーム・性別・年代・X の ID・初回アンケートの回答などです。名前・住所・電話番号・生年月日・カード・口座・マイナンバーは、もともと登録する項目にありません。
→ 取られたおそれがある情報の一覧 - 本当に漏れたの？ 今は「取得されたおそれ」の段階で、漏れたと確かめられたわけではありません。情報が公開されたことや、なりすましなどの被害も確認されていません。
-
気をつけることは？
同社や関係する会社を装うメールに注意してください。同社がパスワードや口座の情報を尋ねることも、投資の勧誘をすることもないとしています。
→ 使っている人がやること - ログインの情報は大丈夫？ ログイン用の認証情報も、取られたおそれがある情報に入っています。同社は認証情報の仕組みを直し、直す前に発行したものをすべて使えなくしました。
- 株たす・トウシカは？ 同じ会社のほかのアプリも調べていて、今のところ情報を取られた事実は確認されていないとしています。
-
アプリや会員ページを持つ会社は？
画面の裏で情報を返す仕組みが、本人の情報だけを返しているかを確かめます（この記事での整理）。
→ API の点検の観点
詳しくは：FXなびを使っている人 ／ アプリや会員ページを持つ会社 ／ 開発の担当者向けの詳細
この記事では、FXなびの情報漏洩のおそれ（第三者による不正アクセスとユーザー情報等の取得のおそれ）について、運営するグリーンモンスター株式会社の適時開示（第一報）と同社サイトのお知らせだけをもとに、何が起きたのかと、利用者・アプリや会員ページを持つ会社がやることを整理します。
何が起きたか
第一報（10 月 23 日）で分かっていることです。グリーンモンスターは 10 月 17 日に、FXなびへの外からの不正なアクセスに気づき、調べ始めました。このアクセスで情報が漏れたことは、今のところ確認されていません。
ところが、その調べの中で、別のことが分かりました。4 月 27 日 20 時 26 分ごろから 30 日 14 時 26 分ごろまで、10 月とは別の何者かが、アプリから利用者の情報を取り続けていたおそれがあります。
取れてしまった原因は、アプリの API（アプリが情報をやり取りする仕組み）の機能にあると、今のところの調べで確かめたとしています。
| 区分 | 内容 |
|---|---|
| ユーザーに関する情報 | メールアドレス（6 万 6003 件）、ニックネーム、性別（14 万 2578 件）、年代（13 万 9293 件）、職業分類（14 万 9137 件）、X（旧 Twitter）の ID（6434 件）、自己紹介に書いた内容、アイコン画像の URL |
| アンケートに関する情報 | 初回アンケートの回答（480 万 9631 件） |
| アプリの利用に関する情報 | 端末固有の ID、ログイン用の認証情報、アプリの引き継ぎコード（5120 件）、プッシュ通知用の識別子、広告 ID、アクセス元の IP アドレス、アプリの利用データ（成績など） |
| もともと登録する項目にないもの | 氏名・住所・電話番号・生年月日・クレジットカード情報・銀行口座情報・マイナンバー |
件数は、同社が持つユーザー情報等のうち約 619 万件で、個人情報に当たらないものも含みます。取られたおそれがある情報が公開されたことや、なりすましなどの二次被害は、今のところ確認されていません。同社のほかのアプリ「株たす」と「トウシカ」も調べていて、情報を取られた事実は今のところ確認されていないとしています。
FXなびの利用者がやること
第一報で案内されていることです。グリーンモンスターによると、同社や関係する会社を装った怪しいメールなどが届くおそれがあります。同社の案内は次のとおりです。
- 心当たりのないメールに書かれた URL や添付ファイルは開かない
- 同社がメールやメッセージでパスワード・金融機関の口座情報・クレジットカード情報を尋ねることはない。投資の勧誘もしない。こうした連絡が来ても応じない
- 問い合わせは、専用の窓口（メール：fxnavi-202610@greenmonster.co.jp）へ
この記事での整理です。取られたおそれがある項目には、X の ID やニックネームも入っています。メールだけでなく、SNS のメッセージで届く投資の話や「当選」などの連絡にも、同じように気をつけておくと安心です。
グリーンモンスターの対応
第一報の時点で、同社は次の対応を済ませたとしています。具体的な再発防止策は、調べた結果をふまえて改めて知らせるとしています。
- API の修正 原因と確かめたアプリの API の機能を直した
- ログインの認証情報の見直し ログインに使う認証情報を直し、直す前に発行したものをすべて無効にした
- 調査 外部の専門家の助言を受けながら、原因と影響の範囲を調べている。業績への影響もくわしく調べている
経緯
| 日付 | できごと |
|---|---|
| 2026 年 10 月 23 日 | 第一報。適時開示と同社サイトのお知らせで、約 619 万件のユーザー情報等が取得されたおそれがあると発表。専用の問い合わせ窓口（メール）を案内 |
| 10 月 17 日 | アプリへの外からの不正なアクセスに気づき、調べ始めた（このアクセスで漏れたことは今のところ確認されていない） |
| 4 月 27 日〜30 日 | 10 月の調べで、この期間に別の何者かがアプリから利用者の情報を取り続けていたおそれがあると分かった |
アプリや会員ページを持つ会社が見直すこと
今回の原因として発表されたのは、アプリの API の機能です。くわしい仕組みは発表されていません。ただ、会員ページや予約・アンケートの機能を持つサイトでも、画面の裏で情報をやり取りする仕組みは同じように使われています。以下はこの記事での整理です。
- 情報を返す仕組みが、ログインしている本人の情報を、必要な項目だけ返しているかを、制作会社や開発元と一緒に確かめる
- 短い時間にたくさんの情報が取られたときに気づけるよう、アクセスの記録（ログ）を残し、ときどき見る。今回も、半年近く前の取得のおそれが、10 月の調べの中で分かっている
- アンケートの回答など、集めた情報を持ち続ける理由があるかを見直し、使わない情報は持たない
技術的な詳細（開発・システムの担当者向け）
ここからは、アプリや会員ページの API を作る・運用する担当者・エンジニア向けです。まず、第一報から読み取れる技術的な点を、発表の言葉に沿って並べます。
| 観点 | 発表の内容 |
|---|---|
| 原因 | 本アプリの API の機能によるもの（今のところの調査で分かっている範囲）。どの API か、どんな不備かは公表されていない |
| 取得の期間と形 | 4 月 27 日 20 時 26 分ごろ〜30 日 14 時 26 分ごろ、第三者がユーザー情報等を継続的に取得していたおそれ |
| 見つかった経緯 | 10 月 17 日に確認した別の第三者による不正なアクセスの調査の中で判明 |
| 認証まわりの項目 | ログイン用の認証情報、アプリの引き継ぎコード、端末固有の ID、プッシュ通知用の識別子、広告 ID が取得されたおそれのある項目に含まれる |
| 対処 | 原因となった API の機能を修正。ログインに使う認証情報を修正し、修正前に発行したものをすべて無効化 |
| 発表に無いこと | 不備の種類と、具体的な再発防止策（調査の結果をふまえて知らせるとしている） |
API の点検の観点（この記事での整理）
今回の不備の種類は発表されていないので、ここでの観点は今回の原因を言い当てるものではありません。一般に、API から利用者の情報が大量に取られる事故で確かめる点です。
- 本人以外の情報を返さないか ID を書き換えたリクエストで、ほかの利用者の情報が返らないかを確かめる（オブジェクト単位の認可の確認）。サーバー側で、ログイン中の利用者とリクエストの対象が一致するかを毎回確かめる。
- 画面に出さない項目まで返していないか レスポンスに、画面で使わないメールアドレス・認証情報・端末の ID などが入っていないかを見る。返す項目はサーバー側で決め、まるごと返さない。
- 大量の取得を止められるか 同じトークン・同じ IP アドレスからのリクエストの数に上限（レート制限）を設け、超えたら止まる・通知が来るようにする。
- あとから調べられるログがあるか API ごとに、いつ・どのトークンで・どの ID の情報を返したかをログに残す。半年前の取得をあとから見つけるには、そのくらいの期間ログを持っておく必要がある。
- 認証情報をまとめて無効にできるか 同社がログインの認証情報で行ったように、発行済みのトークンを一斉に無効にする手順を用意しておく。引き継ぎコードのように長く使う値も、その対象に含めておく。
自社で見直すこと
この記事での整理です。アプリを持っていない会社でも、お問い合わせフォームや会員ページのあるホームページなら、同じ考え方で見直せます。
- 外から見える情報の範囲を確かめる サイトやアプリが、画面に出さない情報まで外へ返していないかを、制作会社に確かめてもらう。
- 記録を残して、いつもと違う動きに気づける形にする アクセスの記録を残す設定にし、いつもと違う大量のアクセスがあったときに知らせが来るようにしておく。
- 自社がしない連絡を公式サイトに書いておく 「パスワードや口座情報をメールで尋ねない」など、自社がしないことを書いておくと、なりすましの連絡と見分けてもらいやすくなる。
ほかの最近の出来事は 「最近のサイバー攻撃と対策」、アプリの情報を表示する仕組みが狙われた例は 「ローソンIDの不正アクセス」、続けて備える体制の考え方は 「ホームページの保守」 にまとめています。
作り方は 3 つ｜完成済み・自作・オーダーメイド
作り方はどれでも選べます。優劣ではなく、向いているケースが違います。
- オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
- 自分で作る（自作） 費用は抑えられます。そのかわり、サイトの仕組みの安全確認や、アクセスの記録の見守りを、公開後もずっと自分で続けることになります。
- 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
