Para: usuarios de FX Navi (FXなび), una app japonesa de operaciones demo de FX operada por Green Monster Inc., y cualquiera que gestione una API de app móvil. Este artículo se basa en los avisos oficiales de la empresa y no cubre técnicas de ataque o estafa.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
A 26 de octubre de 2026Aún no se sabe
- Si los datos se obtuvieron realmente (actualmente «pueden haber sido obtenidos»)
- Cuántas personas (6,19 millones cuenta registros)
- Qué función de la API causó el problema
- En qué consisten las credenciales de inicio de sesión y los códigos de transferencia, y cómo se gestionaron los códigos de transferencia
- Si se notificará individualmente a los usuarios afectados
- Medidas concretas para evitar la repetición
En su anuncio del 23 de octubre, la empresa dice que anunciará medidas concretas para evitar la repetición tras analizar los resultados de la investigación. Su comunicado a la bolsa indica que el impacto en los resultados está en revisión y que divulgará con prontitud si hay algo que deba publicarse. Cuando este sitio consultó la lista de noticias de la empresa el 26 de octubre, no se había publicado ninguna actualización.
Qué deben hacer hoy los usuarios de FX Navi
No abra URLs ni archivos adjuntos de correos que aleguen proceder de la empresa
La empresa advierte que pueden llegar correos sospechosos que se hagan pasar por ella o por empresas relacionadas, y pide a los usuarios que no abran URLs ni archivos adjuntos de correos inesperados. Las direcciones de correo están entre los datos, con 66.003 registros.
Incluso los asuntos que parecen naturales para los usuarios de FX Navi, como verificaciones de cuenta, disculpas o premios de campañas, no deben tratarse siguiendo el enlace (véase ¿Qué es el phishing?).
No responda a los mensajes directos de X que usen el nombre de FX Navi
Los IDs de X (antes Twitter) también están entre los datos, con 6.434 registros. Ignore los mensajes directos que parezcan venir de una cuenta de FX Navi y las invitaciones a "grupos solo para usuarios".
Para comprobar si algo es genuino, abra usted mismo la app oficial o revise las publicaciones de la cuenta oficial de FX Navi, no el enlace del mensaje.
Ignore las ofertas de inversión, aunque usen el nombre de FX Navi
La empresa dice que nunca pedirá contraseñas, datos de cuentas bancarias o datos de tarjetas de crédito por correo o mensaje, y no solicitará inversiones.
Los mensajes que venden herramientas de trading automatizado, ofrecen señales de trading o le instan a abrir una cuenta de trading en el extranjero o a depositar dinero en una cuenta indicada son falsos si usan el nombre de FX Navi. Aunque no lo usen, desconfíe de las ofertas que conozcan sus resultados de operaciones o su grupo de edad.
Use la app instalada desde la tienda oficial
La empresa dice que invalidó todas las credenciales de inicio de sesión emitidas antes de la corrección. El anuncio no dice si los usuarios deben volver a iniciar sesión ni qué más deben hacer.
Si un correo le dice que debe volver a iniciar sesión, no reinstale la app ni inicie sesión a través de su enlace. Abra la app oficial que instaló desde App Store o Google Play y compruébelo allí.
Consulte con el contacto indicado en el anuncio cualquier duda
Para preguntas que el anuncio no responde, como qué se hizo con los códigos de transferencia de cuenta (5.120 registros) o si sus datos están incluidos, contacte con la empresa (correo: fxnavi-202610@greenmonster.co.jp).
Use la dirección del aviso en el sitio web de la empresa, no una que aparezca en un correo que haya recibido.
Un mensaje que conoce sus resultados o su grupo de edad no es necesariamente genuino
Los datos que pueden haber sido obtenidos incluyen grupo de edad, sexo, categoría de ocupación, respuestas a la encuesta de primer inicio y datos de uso como los resultados de operaciones. Un mensaje como "hemos revisado sus resultados de operaciones" que menciona cosas que solo los usuarios deberían conocer no demuestra que proceda de la empresa. Si tiene dudas, compruébelo en la app oficial o en los avisos del sitio web de la empresa.
Qué ocurrió (según el anuncio de Green Monster)
El 23 de octubre de 2026, Green Monster Inc. publicó un aviso en su sitio web y una divulgación oportuna en la Bolsa de Tokio sobre una posible filtración de información de usuarios de su app FX Navi (el comunicado figura como primer informe). Todo lo siguiente procede del anuncio de la empresa.
Alrededor de las 20:26 del lunes 27 de abril de 2026 hasta alrededor de las 14:26 del jueves 30 de abril
El periodo en el que un tercero pudo haber obtenido de forma continua información de usuarios de FX Navi (detectado en la investigación de octubre).Sábado 17 de octubre
La empresa detectó un acceso no autorizado a la app por parte de un tercero e inició una investigación. No se ha confirmado ninguna filtración de información de usuarios derivada de este acceso.Durante la investigación
Se detectó que la recopilación de abril pudo haber procedido de un tercero que usaba una dirección IP distinta de la del acceso de octubre. Se confirmó que la causa fue una función de la API de la app.Hasta el viernes 23 de octubre
Se corrigieron la función de la API y las credenciales de inicio de sesión, y se invalidaron todas las credenciales emitidas antes de la corrección (sin fecha indicada).Viernes 23 de octubre
Anunciado en un aviso en el sitio web de la empresa y una divulgación oportuna (primer informe).
- Alcance
- Información de usuarios de la app de operaciones demo de FX FX Navi. Unos 6,19 millones de registros (incluidos datos que no son información personal)
- Información de usuarios
- Dirección de correo (66.003), apodo, sexo (142.578), grupo de edad (139.293), categoría de ocupación (149.137), ID de X (antes Twitter) (6.434), texto de presentación, URL de la imagen de icono
- Información de encuestas
- Respuestas a la encuesta de primer inicio (4.809.631)
- Información de uso de la app
- ID del dispositivo, credenciales de inicio de sesión, código de transferencia de cuenta (5.120), identificador de notificaciones push, ID publicitario, dirección IP de origen, datos de uso (como los resultados de operaciones)
- No registrable
- Nombre, dirección, número de teléfono, fecha de nacimiento, datos de tarjeta de crédito, datos de cuenta bancaria, Mi Número
- Causa
- Confirmada como una función de la API de la app. No se han publicado más detalles
- Respuesta
- Corrigió la función de la API, corrigió las credenciales de inicio de sesión e invalidó todas las credenciales emitidas antes de la corrección. Investigando con asesoramiento de expertos externos
- Daño
- No se ha confirmado publicación de los datos, suplantación u otro daño secundario (a 23 de octubre)
- Otros servicios
- Los otros servicios de la empresa, Kabutasu (株たす) y Toushika (トウシカ), también se están investigando. No se ha confirmado la recopilación de información de usuarios de ellos
- Contacto
- Correo: fxnavi-202610@greenmonster.co.jp
Datos de contacto
Dirección de correo, ID de X
Perfil
Grupo de edad, sexo, ocupación, respuestas de encuesta
Uso de la app
Datos de uso como resultados, apodo
↓ Lo que, en general, puede ocurrir
Ofertas convincentes y avisos falsos dirigidos a personas interesadas en invertir
Disfrazados de correos, mensajes directos de X o invitaciones a grupos
↓ No siga las instrucciones
Compruébelo en la app oficial o en los avisos del sitio web de la empresa
Qué se sabe y qué no
Según el anuncio de la empresa a 26 de octubre de 2026 (el aviso del 23 de octubre y el comunicado a la bolsa). La columna de estado se actualizará cuando se publiquen novedades.
| Dato | Qué se anunció | Estado |
|---|---|---|
| Dirección de correo, ID de X | 66.003 y 6.434 registros | Posible (empresa) |
| Apodo, sexo, grupo de edad, ocupación, presentación, URL de imagen de icono | Se dan cifras para sexo, grupo de edad y ocupación | Posible (empresa) |
| Respuestas a la encuesta de primer inicio | 4.809.631 registros | Posible (empresa) |
| Credenciales de inicio de sesión | Todas las emitidas antes de la corrección fueron invalidadas. Contenido no indicado | Posible (empresa) |
| Código de transferencia de cuenta | 5.120 registros. No se indica si fueron invalidados | Posible (empresa) |
| ID del dispositivo, identificador de notificaciones push, ID publicitario, IP, datos de uso | No se dan cifras | Posible (empresa) |
| Nombre, dirección, teléfono, fecha de nacimiento, tarjeta, banco, Mi Número | No son datos que los usuarios puedan registrar en la app | No incluidos (empresa) |
| Número de registros | Unos 6,19 millones (incluidos datos no personales). Número de personas no indicado | Anuncio de la empresa |
| Periodo de posible recopilación | Alrededor de las 20:26 del 27 de abril a alrededor de las 14:26 del 30 de abril | Anuncio de la empresa |
| Acceso no autorizado del 17 de octubre | No se ha confirmado filtración derivada de este acceso | No confirmada (empresa) |
| Causa | Una función de la API de la app. Sin detalles | En investigación |
| Daño secundario | No se ha confirmado publicación de datos ni suplantación (a 23 de octubre) | No confirmado (empresa) |
| Impacto en Kabutasu y Toushika | No se ha confirmado recopilación. En investigación | No confirmado (empresa) |
| Avisos individuales a usuarios afectados | No se menciona en el anuncio | No indicado |
| Notificación a la Comisión de Protección de Información Personal de Japón | No se menciona en el anuncio | No indicado |
Por qué este artículo no habla de 6,19 millones de personas
El encabezado del anuncio de la empresa dice "número de usuarios afectados", pero el texto da la cifra de unos 6,19 millones de registros de información de usuarios y no indica cuántas personas representa. El dato más numeroso son las respuestas a la encuesta de primer inicio (4.809.631); las direcciones de correo suman 66.003. La empresa dice que la cifra incluye datos que no son información personal. Este artículo no convierte registros en personas y muestra el recuento de cada dato tal como se publicó.
Qué puede pasar cuando se filtran juntas direcciones de correo, IDs de X y perfiles de inversores
En general, cuando los datos de contacto se filtran junto con el hecho de que una persona está interesada en invertir, pueden usarse como lista de objetivos para estafas de inversión (la empresa no ha anunciado que esto haya ocurrido aquí).
Lo que, en general, puede ocurrir
- Campañas o premios falsos que usen el nombre de FX Navi o de una empresa relacionada
- Ofertas de herramientas de trading automatizado o servicios de señales adaptadas al grupo de edad o a los resultados
- Mensajes directos de X que llevan a grupos externos e instan a depositar dinero en cuentas en el extranjero
Lo que puede hacer
- Compruebe cualquier aviso en la app oficial o en el sitio web de la empresa
- Sea quien sea el remitente, no deposite dinero ni se registre en el momento
- No use datos de contacto ni enlaces escritos en correos o mensajes directos
Para otro caso en el que se filtraron direcciones de correo y datos de socios, y cómo prepararse para mensajes falsos, véase la filtración de la app de Yakiniku King. Para formas generales de detectar falsos contactos de soporte, véase avisos falsos de virus y estafas de soporte técnico.
Para quienes gestionan una API de app móvil
La empresa solo ha dicho que la causa fue una función de la API de la app; no se sabe qué función ni qué falló. Esta sección se ciñe a lo que se deduce de la cronología y los datos publicados. No especula sobre la causa ni afirma que una sola corrección lo habría evitado.
Conserve registros que permitan revisar hacia atrás seis meses
Según la empresa, la recopilación de abril se detectó al investigar un acceso no autorizado distinto en octubre, y el periodo se indica al minuto. Conservar los registros de acceso a la API (cuándo, desde qué dispositivo o dirección IP, cuántos registros se devolvieron) durante varios meses o más permite comprobar el alcance cuando se note algo más tarde. Como referencia de retención, el estándar de la industria de tarjetas PCI DSS exige conservar los registros de auditoría durante 12 meses.
Limite cuánto puede obtener un cliente y genere alertas
Según la empresa, los datos pueden haber sido obtenidos "de forma continua" desde la noche del 27 de abril hasta la tarde del 30 de abril (unos 2 días y 18 horas). En general, fijar un límite de registros por usuario, por dispositivo y por dirección IP, y avisar cuando se alcance el 80 % del límite, es un primer paso para detectar a tiempo la recopilación masiva. Dónde medir y ejemplos de configuración se explican en limitación de tasa y control de abuso.
Pueda invalidar todas las credenciales emitidas de una sola vez
La empresa dice que invalidó todas las credenciales de inicio de sesión emitidas antes de la corrección. Si puede revocar en un solo paso cada credencial que pudo haberse filtrado, la suplantación con credenciales antiguas se detiene sin que los usuarios tengan que hacer nada. En su propia app, decida de antemano cómo revocar todos los tokens a la vez y cómo volverán a iniciar sesión los usuarios después.
Limite lo que devuelve la API a lo que necesita la pantalla
Los datos que pueden haber sido obtenidos incluyen información que los usuarios nunca ven en pantalla, como los ID publicitarios, los identificadores de notificaciones push y los códigos de transferencia de cuenta. En general, las API que devuelven datos de otros usuarios también necesitan protección frente al problema en el que cambiar un ID en una solicitud expone los datos de otra persona (IDOR). La empresa no ha dicho que esta fuera la causa aquí, pero revisar qué campos devuelve la API y de qué usuarios puede devolver datos es un buen punto de partida.
Fuentes (registros públicos)
Los hechos de este artículo se basan en la siguiente información pública. Los detalles de la causa y del método de recopilación, que no se han divulgado, no se especulan.
- Green Monster Inc., "Disculpas y aviso sobre una posible filtración de información de usuarios de nuestra app FX Navi" (23 de octubre de 2026, en japonés) — greenmonster.co.jp
- Green Monster Inc., "Informe sobre una posible filtración de información de usuarios de nuestra app FX Navi (primer informe)" (23 de octubre de 2026, divulgación oportuna, en japonés) — TDnet (PDF)
Historial de actualizaciones
2026-10-26: Primera versión, basada en el aviso de Green Monster del 23 de octubre y en la divulgación oportuna (primer informe). Se actualizará cuando se publiquen novedades sobre la causa, los usuarios afectados o las medidas preventivas.
Lectura recomendada
- Para prepararse ante correos falsos: ¿Qué es el phishing?
- Filtraciones de datos de miembros de apps: la filtración de la app de Yakiniku King / la filtración de la app de Seicomart
- Contraseñas: cómo comprobar si su contraseña se filtró
- Un incidente que afectó a entornos de operaciones de FX: acceso no autorizado a Onamae.com Desktop Cloud
- Protección de APIs: limitación de tasa y control de abuso / ¿Qué es IDOR?
- Otros incidentes de 2026: filtraciones de datos y ciberataques en 2026 (Japón y en el mundo)