FXのデモアプリ「FXなび」 619万件取得のおそれ APIの機能が原因

グリーンモンスターは2026年10月23日、FXのデモトレードアプリ「FXなび」の利用者の情報約619万件が、第三者に取られたおそれがあると公表しました。同社は東証グロース市場の上場企業で、適時開示と自社のサイトで第一報を出しました。

10月17日に不正なアクセスに気づいて調べたところ、それとは別の第三者が、4月27日から30日にかけて、アプリのAPI(アプリとサーバーがデータをやり取りする窓口)の機能を通じて、情報を取り続けていたおそれが分かったとしています。

グリーンモンスターが公表したこと

取られたおそれのある情報は、次のとおりです。

同社によると、アプリに登録できる項目に、氏名、住所、電話番号、生年月日、クレジットカード情報、銀行口座情報、マイナンバーはありません。

半年前の取得に、別件の調査で気づいた

情報が取られていたおそれがあるのは4月末の約3日間で、気づいたのは約半年後の10月です。きっかけは、10月17日の別の不正なアクセスの調査でした。

公表に書かれていないこと

• APIのどの機能に、どんな問題があったか。
• 4月の取得と、10月17日の不正なアクセスとの関係。
• 約619万件のうち、個人情報に当たる件数。
• 証券会社やFX会社の取引口座の情報が含まれるかどうか。アプリはデモトレード用で、登録できる項目にクレジットカードと銀行口座は無いとしています。
• 個人情報保護委員会や警察への届け出。
• 利用者にパスワードの変更などを求めるかどうか。

影響する人・会社、しない人・会社

• 影響する: FXなびを使っている人と、使っていた人です。メールアドレスやX(旧Twitter)のIDが取られたおそれがあり、同社や投資を名乗る偽の連絡が届くことがありえます。
• 影響する: FXなびに、会社のメールアドレスで登録した社員がいる会社です。社用のアドレスに、投資の勧誘や偽のメールが届くことがありえます(当社の見立て)。
• 影響する: 利用者の情報をAPIで返すアプリやサービスを運営している会社です。同じ種類の問題が自社に無いかを確かめる場面です。
• 影響しない(公表の範囲では): クレジットカード情報、銀行口座情報、マイナンバーです。アプリに登録する項目がありません。
• 影響しない(公表の範囲では): 同社の「株たす」「トウシカ」の利用者です。現時点で、情報が取られた事実は確認されていないとしています。

会社・情シスが今日やること

1. 投資の勧誘に気をつけるよう、社内に知らせます。 同社は、メールやメッセージでパスワードや口座情報、クレジットカード情報を聞くことはなく、投資の勧誘もしないとしています。投資やFXを名乗る連絡のURLは開かないよう伝えます。
2. 社用のアドレスでの登録を確かめます。 投資の学習のアプリなどに、会社のメールアドレスで登録していないかを、気になる部署に聞きます。
3. 自社のAPIの返す範囲を確かめます。 自社が運営するアプリやサービスのAPIが、ログインしている本人の分だけを返すか、まとめて大量に取れてしまわないかを、開発の担当と確かめます(当社の見立て)。
4. APIの記録の残し方を見直します。 アクセスの記録をどれだけの期間残しているか、同じ相手からの大量の取得に気づける仕組みがあるかを確かめます。
5. 続報を見る担当を決めます。 原因の詳細や再発防止策が公表されたら、社内への知らせ直しが要るかを判断します。