要点
発表された事実
- グリーンモンスター（東証グロース 157A）は2026年10月23日、FXデモトレードアプリ「FXなび」のユーザーのメールアドレス等が第三者に取得されたおそれがあると発表した（第一報）（グリーンモンスター 適時開示（PDF））。
- 10月17日（土）にアプリへの第三者の不正アクセスを確認して調査を始めた。この不正アクセスによる漏えいは確認されていない。一方、調査の過程で、2026年4月27日20時26分頃から4月30日14時26分頃にかけて、別のIPアドレスの第三者がアプリからユーザー情報等を継続的に取得していたおそれが判明した（同）。
- 対象は約619万件（個人情報に当たらないものも含む）。項目はメールアドレス（6万6003件）、ニックネーム、性別（14万2578件）、年代（13万9293件）、職業分類（14万9137件）、XのID（6434件）、自己紹介、アイコン画像のURL、初回アンケートの回答（480万9631件）、端末固有ID、ログイン用の認証情報、引き継ぎコード（5120件）、プッシュ通知用の識別子、広告ID、アクセス元IPアドレス、利用データ（成績等）（同）。
- 氏名・住所・電話番号・生年月日・クレジットカード・銀行口座・マイナンバーは、もともと登録できる項目にない（同）。
- 原因は「本アプリのAPIの機能によるもの」。APIの機能とログイン用の認証情報を修正し、修正前に発行した認証情報をすべて無効化した。同社の「株たす」「トウシカ」では取得の事実は確認されていない。二次被害は確認されていない（同）。
わかっていないこと
- 「APIの機能」の具体的な欠陥（認可の不備、ID指定で他人の情報を取れる作りなど）
- 4月の取得を半年間検知できなかった理由と、4月の取得がどの手段で確認されたか（ログの保存期間など）
- 「ログイン用の認証情報」と引き継ぎコードを使ったアカウント乗っ取りが実際に起きたかどうか
- 10月17日の不正アクセスの中身と、4月の取得との関係
- 個人情報保護委員会への報告の有無、対象ユーザーへの個別連絡の方法
- 具体的な再発防止策（調査結果を踏まえて改めて知らせるとしている）
関係しそうな既知の手口
- （考察）約3日間で約619万件を「継続的に取得」という形は、アプリのAPIに順番にIDを渡してデータを引き出す、認可の不備（BOLA/IDOR）を突いた大量取得と似ている。JPCERT/CCも10月の注意喚起で、公開アプリの解析によるAPIの特定と内部APIの不正な呼び出しを挙げている。ただし、グリーンモンスターは欠陥の種類を公表していない。
概要
- FXのデモトレード（仮想売買）アプリで、半年前に約619万件の利用者データが外部から引き出されていたおそれが、10月の別の不正アクセスの調査で見つかった。
- 原因はアプリが使うAPIの機能。ログイン用の認証情報や引き継ぎコードも対象で、同社は修正前の認証情報をすべて無効にした。
- 実名や口座は持たないアプリだが、メールアドレス・Xのアカウント・職業・年代と「投資に関心がある」という属性がそろう。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-04-27（月）20:26頃〜04-30（木）14:26頃 | 別のIPアドレスの第三者がアプリからユーザー情報等を継続的に取得したおそれ（グリーンモンスター） |
| 2026-10-17（土） | アプリへの第三者の不正アクセスを確認し、調査を開始（同） |
| 調査の過程 | 4月の継続取得のおそれが判明。APIの機能と認証情報を修正し、修正前の認証情報を無効化（同） |
| 2026-10-23（金） | 第一報を適時開示（同） |
発表内容の整理
事実（グリーンモンスターの第一報）
| 項目 | 内容 |
|---|---|
| 対象アプリ | FXデモトレードアプリ「FXなび」 |
| 件数 | 約619万件（個人情報に当たらないものを含む） |
| 利用者の情報 | メールアドレス6万6003件、ニックネーム、性別14万2578件、年代13万9293件、職業分類14万9137件、XのID 6434件、自己紹介、アイコン画像のURL |
| アンケート | 初回アンケートの回答480万9631件 |
| 利用に関する情報 | 端末固有ID、ログイン用の認証情報、引き継ぎコード5120件、プッシュ通知用の識別子、広告ID、アクセス元IPアドレス、利用データ（成績等） |
| 登録項目にないもの | 氏名、住所、電話番号、生年月日、クレジットカード、銀行口座、マイナンバー |
| 原因 | 本アプリのAPIの機能 |
| 対応 | APIの修正、ログイン用認証情報の修正、修正前の認証情報の全無効化、外部専門家の助言を受けた調査 |
| 他サービス | 「株たす」「トウシカ」では取得の事実は未確認 |
| 問い合わせ | fxnavi-202610@greenmonster.co.jp |
- 報道でも、10月の不正アクセスの調査中に4月の取得のおそれが判明した経緯が伝えられている（セキュリティ対策Lab）。
考察
注目したいのは、取得されたおそれがあるのが半年前（4月）だという点だ。10月17日の不正アクセスがなければ、4月の大量取得は見つからなかった可能性がある。APIを通じた取得は、正規の利用と同じ形のリクエストとして記録されるため、件数や頻度の異常を見る仕組みがないと埋もれやすい（考察）。
「ログイン用の認証情報」と引き継ぎコードが含まれるため、取得した者がアカウントそのものに入れた可能性がある。会社が修正前の認証情報をすべて無効にしたのは、この点への対処と読める。デモトレードのため金銭被害には直結しにくいが、メールアドレスやXのIDと「FXに関心がある」という属性の組み合わせは、投資詐欺の勧誘の宛先として価値がある。会社が「投資の勧誘をすることはない」とわざわざ書いているのもこのためだろう（考察）。
関係しそうな既知の手口
事実（既知の知見）
- JPCERT/CCは2026年10月8日（10月23日にも更新）、国内組織で相次ぐ不正アクセスについて注意喚起を出し、公開アプリの解析によるAPIのエンドポイントの特定、内部APIの不正な呼び出しなどの手口を挙げている（JPCERT/CC）。
考察
モバイルアプリのAPIは、アプリの画面からは見えない項目（端末ID、広告ID、認証情報）まで返す作りになっていることがある。「本人の情報を本人に返す」APIが、ほかの利用者のIDでも答えてしまう不備は、ほかの国内事例でも繰り返し出ている。今回の項目の並びも、ユーザー1人分のレコードを丸ごと返すAPIから取られた形に近いが、確定ではない（考察）。
利用者・運用者がいまできること
- FXなびを使っていた人は、グリーンモンスターや投資関連企業を名乗るメール・XのDMのリンクを開かず、投資の勧誘には応じない。同社は勧誘をしないと明言している。
- アプリの登録に使ったメールアドレスと同じパスワードをほかで使っている場合は、念のため変更する。
- アプリを運営する事業者は、APIが「誰のデータを返すか」を毎回サーバー側で確かめているか、1つの接続元から大量の別ユーザーのデータを取る動きを検知できるか、そのログをどれだけの期間残しているかを点検する。