グリーンモンスターの「FXなび」におけるユーザー情報等漏えいのおそれ
公表日
グリーンモンスター株式会社は、投資学習アプリ「FXなび」においてユーザー情報などが漏えいしたおそれがあると発表しました。漏えいした情報の種類や件数などの詳細は現時点で確認されていません。
対象者は？
「FXなび」の利用者の情報が漏えいしたおそれがありますが、具体的な対象範囲や漏えいした情報の項目はまだ発表されていません。
現時点で個別の確認方法はまだ発表されていません。
何が起きたのか
2026年10月23日、グリーンモンスター株式会社は提供する体験型投資学習アプリ「FXなび」において、ユーザー情報などが漏えいしたおそれがあるとして第一報を開示しました。
なぜ起きたのか・なぜ広がったのか
不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の有無や具体的な発生原因、被害の広がりなどの理由はまだ発表されていません。
いまの状況2026-10-23 時点続報待ち
グリーンモンスターによる第一報の開示が行われた段階であり、漏えいした情報の種類、影響を受けた人数、今後の対応策などの詳細についてはまだ発表されていません。
企業として考えたいこと
自社が提供する学習用・シミュレーション用アプリにおいて、顧客のアカウント情報がどのように保護され、異常時に迅速に把握・開示できる体制が整っていますか？
技術的な要約
グリーンモンスターは2026年10月23日、自社が提供する体験型投資学習アプリ「FXなび」において、ユーザー情報等漏えいのおそれがあるとして適時開示（第一報）を行った。公表時点において、漏えいが疑われる情報の種類や影響を受けた利用者数などの詳細は確認されていない。また、不正アクセスの有無や原因、今後の対応策についても明らかにされていない。現時点では第一報の開示にとどまっており、詳細の確認が待たれる状況である。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表情報において不正アクセスの有無や侵入経路などの詳細は確認されていない
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし
- データ
- おそれ上限 —確定 —漏えいが疑われる情報の種類や影響を受けた利用者数などの詳細は公表時点で確認されていない
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2026-09-28グリーンモンスターが、テレビアニメ「FX戦士くるみちゃん」とのタイアップキャンペーンを10月1日から開始すると発表1
- 2026-10-23 16:00
技術解説
第一報における公表内容と現状 事実
グリーンモンスター株式会社は、2026年10月23日16時に適時開示を行い、自社が提供する体験型投資学習アプリ「FXなび」において、ユーザー情報等が漏えいしたおそれがある旨を公表した。適時開示の表題は「当社アプリFXなびにおけるユーザー情報等漏えいのおそれに関するご報告（第一報）」とされている。対象となった「FXなび」は、実際の金融取引を行わないデモトレード機能を中心とし、初心者向けの漫画や動画でFXの基礎知識を学べるアプリである。同社は直前の同年9月28日に、テレビアニメ「FX戦士くるみちゃん」とのタイアップキャンペーンを10月1日から開始する旨を発表していた。公表時点においては、漏えいが疑われる具体的な情報の種類、影響を受けた可能性のある利用者数、外部からの不正アクセスの有無、発生原因、および今後の対応策などの詳細情報は明らかにされていない。
初動段階における迅速な速報開示の意義と課題 解釈
インシデント検知直後における第一報の速やかな開示は、上場企業としての情報開示責任や透明性の確保という観点から重要視される対応である。詳細な調査結果が判明する前であっても、ユーザー情報漏えいのおそれという重大事態の可能性が生じた段階で速報を出すことには、被害の潜在的な拡大防止やステークホルダーへの周知といった意義がある。一方で、影響範囲や対象となるデータ項目、利用者側で必要な自衛措置（パスワード変更など）が示されない段階での速報開示は、利用者に不安や混乱を与える懸念も伴う。このため、第一報の開示後には速やかなフォレンジック調査の実施とともに、判明した事実や影響規模、具体的な対策をタイムリーに続報として発信する体制の維持が不可欠となる。
学習・シミュレーション用アプリにおけるリスク管理の視点 解釈
デモトレードなどの学習・シミュレーション用モバイルアプリでは、実際の資金移動や金融取引を行わないものの、アカウント作成に伴うメールアドレスや認証情報、利用履歴などの個人情報が収集・保持されるケースが一般的である。仮に不正アクセスや設定不備などによってこれらのデータが外部に露出した場合、他サービスとのパスワード使い回しによる二次被害や、フィッシング攻撃などの標的型詐欺に悪用されるリスクが生じ得る。実際の取引口座を持たないシミュレーションアプリであっても、ユーザーの認証基盤やAPI連携部、クラウド上のデータストアなどに対するセキュリティ設計およびアクセス制御の徹底は、基幹金融システムと同様に高い水準が求められる。
対応
- 封じ込め
- —
- 公表の仕方
- 2026年10月23日16時に適時開示を通じて「当社アプリFXなびにおけるユーザー情報等漏えいのおそれに関するご報告（第一報）」を発表
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| ユーザー情報漏えいの兆候検知と迅速な調査着手体制の構築 | アプリケーションログおよびAPIアクセスログの集約基盤を整備し、通常と異なる大量データ取得や認可外アクセスを検知した際にセキュリティ担当へ自動通知するアラートを設定する。 |
| モバイルアプリおよびバックエンドAPIにおける認証・認可の厳格化 | バックエンドAPIの各エンドポイントでJWT等のセッショントークンに対する適切なスコープ検証と所有権チェック（BOLA/IDOR対策）を実装し、他者のユーザーデータへの不正アクセスを遮断する。 |
| クラウドデータストアおよびインフラ環境の設定不備防止 | IaC（TerraformやCloudFormation等）を用いてインフラ構成をコード化し、CI/CDパイプライン内で静的解析（Trivy、tfsec等）を実施して公開設定の誤りや過剰な権限付与を自動検出・修正する。 |
| 漏えい発生時の被害極小化と暗号化の適用 | データベース内に格納する個人情報や認証情報に対し、AES-256等の強固な暗号化を適用し、パスワードにはArgon2idやbcryptを用いた適切なソルト付きストレッチングハッシュ化を実装する。 |
自組織などでの確認項目
- 自社が提供するシミュレーションや学習用アプリ・検証環境において、本番サービスと同等のセキュリティ監視やアクセス権限管理が適用されているか。
- アプリケーションやAPIからの異常なデータダウンロードや不正リクエストを検知した場合に、迅速に一次切り分けやアクセス遮断を行う手順が確立されているか。
- 個人情報漏えいのおそれが生じた際、詳細調査の完了を待たずに第一報を公表する場合の判断基準やエスカレーションフローが定義されているか。
未解明点
- 「FXなび」で漏えいしたおそれのあるユーザー情報の具体的な項目（氏名、メールアドレス、パスワード等）および影響を受けたアカウント数などの規模。
- 本事象の原因は外部からの不正アクセスによるものか、システム設定不備や内部処理の不具合によるものか。
出典
- 1本家いなてい2026-10-23報道本文確認済
- 2日本経済新聞2026-10-23報道本文確認済