2026-10-23 公表 · green-monster-20261023

グリーンモンスター：グリーンモンスター「FXなび」にサイバー攻撃、個人情報漏えいのおそれ　約619万件のユーザー情報等が対象

不正アクセス情報漏えい第1報AI関与: 未評価報道のみ・一次公表未確認

影響件数: 約619万件; 個人情報を含むユーザー情報等の全体（個人情報に該当しないデータを含む） · 可能性 · 他 3 区分
対象となった情報: メールアドレス、アカウント ID、認証トークン; 他 1 種
侵入経路: API の不正操作; 第三者分析・報道・当局
漏えいの確認: 可能性あり; 第1報

要約

公表文の事実のみ

グリーンモンスター株式会社は2026年10月23日、FXデモトレードアプリ「FXなび」で、個人情報を含む約619万件のユーザー情報等が第三者に取得されたおそれがあると公表した。同社は10月17日に第三者による不正アクセスを確認して調査を始めたが、このアクセスによる漏えいは確認されていない。調査の過程で、別のIPアドレスから4月27日20時26分頃〜30日14時26分頃に情報が継続的に取得された可能性が判明した。対象にはメールアドレス6万6,003件、初回アンケート回答480万9,631件、引き継ぎコード5,120件、ログイン用認証情報などが含まれる。氏名・住所・電話番号・カード情報・銀行口座情報・マイナンバーは登録項目に含まれない。原因はアプリのAPI機能にあり、同社は機能を修正して修正前のログイン用認証情報をすべて無効化した。10月23日時点で情報の公開や二次被害は確認されていない。

組織: グリーンモンスター株式会社企業
業種: 金融業，保険業 · 金融
発生（判明）期間: 2026-04-27 〜 2026-04-30
根拠:「4月27日20時26分頃～30日14時26分頃」[s1]
検知日: 2026-10-17
根拠:「10月17日に第三者による不正アクセスを確認」[s1]
第1報の公表日: 2026-10-23
根拠:「2026年10月23日、FXデモトレードアプリ「FXなび」」[s1]
影響件数: 個人情報を含むユーザー情報等の全体（個人情報に該当しないデータを含む）約6,190,000件（可能性） / メールアドレス 66,003件（可能性） / 初回アンケートの回答 4,809,631件（可能性） / アプリの引き継ぎコード 5,120件（可能性）
根拠:「約619万件のユーザー情報等が第三者に取得されたおそれ」[s1]「メールアドレス6万6,003件」[s1]他 2 件
対象となった情報: メールアドレス、アカウント ID、認証トークン、その他
漏えいの確認状況: 可能性あり
根拠:「漏えいが確定したとの発表ではありません」[s1]
侵入経路: API の不正操作第三者分析・報道・当局
根拠:「アプリのAPI機能に原因があったと説明」[s1]
原因（公表の記述）: 原因はアプリのAPIの機能とされるが、具体的な設計・認可上の問題や攻撃手順は公表されていない。
公表文の記載項目: 原因あり件数あり時系列あり最終報告なし

経過

日数差は全事案の中央値と並べる（統計 §初動の相場）

発生2026-04-27〜 2026-04-30
173 日中央値 2 日検知2026-10-17
6 日中央値 4 日第1報2026-10-23
最終報告未公表

記録にある日付だけを置いています。「未公表」は当サイトが該当する公表を確認していないことを示し、公表されていないことの断定ではありません。中央値は統計ページの全期間の値です。

影響を受ける可能性のある人へ

公表文の記載からの整理。推測は含まない

対象になりうる人

漏えいの可能性があるとされている。公表文に記載された対象の範囲は「個人情報を含むユーザー情報等の全体（個人情報に該当しないデータを含む）」、「メールアドレス」、「初回アンケートの回答」、「アプリの引き継ぎコード」。

すべきこと

その組織を名乗るメール・SMS・電話に注意する。リンクは開かず公式サイトから確認する。
そのサービスのパスワードを変え、同じパスワードを使っている他のサービスも変える。多要素認証が使えるなら有効にする。

公表文・続報

一次公表へのリンクは当サイトに記録がありません。

公表の時系列

各行に原文と保存版へのリンク

2026-10-23第1報グリーンモンスター「FXなび」にサイバー攻撃、個人情報漏えいのおそれ約619万件のユーザー情報等が対象|セキュリティニュースのセキュリティ対策Lab
グリーンモンスター株式会社は2026年10月23日、アプリ「FXなび」で個人情報を含む約619万件のユーザー情報等が第三者に取得されたおそれがあると公表した。4月27日〜30日に別のIPアドレスから情報が継続的に取得された可能性がある。原因はAPI機能で、同社は修正し、修正前の認証情報をすべて無効化した。
原文

攻撃グループ

帰属の根拠と確度

この事案に結びついた攻撃グループの記録はありません。

手口と痕跡

API の不正操作: アプリ解析で得た API キー、権限昇格、NoSQL インジェクション · ATT&CK T1190, T1078

API の不正操作は、公開アプリの解析で得た API キーや内部 API の欠陥を突き、権限変更や情報窃取を行う手口で、画面操作を想定した認可の甘さが弱点になる。

兆候と見分け方

JPCERT/CC は不審な送信元 IP として 3.112.252[.]14、54.95.112[.]6 など複数を公表した。調査時点では正規利用の可能性もあるとしている s1
User-Agent に curl/7.88.1 や python-requests/2.34.2 が見られた。Metabase 悪用では Metabase-GHSA-vwf4/2.0 も確認されている s1
IPA は、作ったはずのないアカウントや、無効化したはずのアカウントの再有効化を確認するよう求めている s1 s4
IPA は、エラー出力量や平時との差異をログで確認し、直近 1 ヵ月から 3 ヵ月へ範囲を広げて調べるよう示している s4

備えの要点

JPCERT/CC は、API へのリクエスト件数制限と、ログインや検索など悪用リスクの高い機能への個別の利用回数制限を勧めている s1
非公開 API を含む全エンドポイントでアクセス制御を行い、許可された利用者と HTTP メソッドだけを受け付けるよう JPCERT/CC は勧めている s1
API トークンは最小権限と有効期限を設定し、漏えいが疑われるものを速やかに無効化できるようにする、と JPCERT/CC は述べている s1
IPA は、外部公開範囲の見直し、多要素認証の強化、API 連携の管理状況と権限付与の見直し、ログ保持期間の見直しを挙げている s4

この手口に共通する一般的な解説で、この事案の公表内容ではありません。出典番号（sN）は手口ページの出典一覧を指し、全文も同ページに。

AI関与の評価

昇格には出典が要る

AI関与: 未評価

公表文に AI への言及はなく、評価はまだ行っていません。

同じ組織・委託先・製品・業種・手口の記録

一覧で探す: 2026年の統計 · 金融業，保険業の事案 · API の不正操作の事案

出典

s1
報道グリーンモンスター「FXなび」にサイバー攻撃、個人情報漏えいのおそれ約619万件のユーザー情報等が対象|セキュリティニュースのセキュリティ対策Lab
ロケットボーイズ · 取得 2026-10-25
s2
報道報道（見出しのみ参照）
Google ニュース経由 · 取得 2026-10-25
s3
報道報道（見出しのみ参照）
Google ニュース経由 · 取得 2026-10-25

項目別の根拠引用（9）

disclosedAt: 「2026年10月23日、FXデモトレードアプリ「FXなび」」[s1]
counts[0]: 「約619万件のユーザー情報等が第三者に取得されたおそれ」[s1]
counts[1]: 「メールアドレス6万6,003件」[s1]
counts[2]: 「初回アンケート回答480万9,631件」[s1]
counts[3]: 「引き継ぎコード5,120件」[s1]
detectedAt: 「10月17日に第三者による不正アクセスを確認」[s1]
occurredFrom: 「4月27日20時26分頃～30日14時26分頃」[s1]
confirmation: 「漏えいが確定したとの発表ではありません」[s1]
cause.initialAccess: 「アプリのAPI機能に原因があったと説明」[s1]

この記録について

記録の作成: 2026-10-25
更新: 2026-10-25
出典の最終取得: 2026-10-25
識別子: green-monster-20261023

当サイトが書いた要約・分類・突合の結果は CC BY 4.0 で利用できます（出典と利用条件）。この記録の訂正・削除を依頼する

要約

経過