グリーンモンスターのアプリ「FXなび」のユーザー情報漏えいのおそれ（約619万件）：メールアドレス・アンケート回答などが対象、利用者がやること

同社は、同社や関係する企業を装った不審なメール等が届くおそれがあるとして、心当たりのないメールのURLや添付ファイルを開かないよう呼びかけています。メールアドレスは6万6,003件が対象です。

「アカウントの確認」「お詫び」「キャンペーン当選」など、FXなびの利用者に自然に見える件名でも、リンクからは操作しないでください（見分け方は フィッシングとは）。

X（旧Twitter）のIDも6,434件が対象です。FXなびのアカウントに見せかけたDMや、「利用者限定のグループ」への招待が届いても応じないでください。

本物かどうかは、DMのリンクではなく、自分で開いた公式アプリやFXなびの公式アカウントの投稿で確かめます。

同社は、メールやメッセージでパスワード・金融機関の口座情報・クレジットカード情報を尋ねることはなく、投資の勧誘も行わないとしています。

自動売買ツールの販売、シグナルの配信、海外の取引口座の開設、指定口座への入金を勧める連絡は、FXなびを名乗っていれば偽物です。名乗っていなくても、成績や年代を言い当てる勧誘は疑ってください。

同社は、修正前に発行したログイン用の認証情報をすべて無効にしたとしています。利用者がログインし直す必要があるかなど、利用者側の手順は発表に書かれていません。

「再ログインが必要です」などの案内がメールで届いても、そのリンクからアプリを入れ直したり、ログインしたりしないでください。App Store や Google Play から入れた公式アプリを、自分で開いて確かめます。

引き継ぎコード（5,120件が対象）の扱いや、自分の情報が含まれるかなど、発表に書かれていないことは、同社の問い合わせ窓口（メール：fxnavi-202610@greenmonster.co.jp）に問い合わせてください。

窓口のアドレスは、届いたメールに書かれたものではなく、同社サイトのお知らせに載っているものを使います。

同社の発表では、4月の取得は10月の別の不正アクセスの調査の過程で判明し、期間は分単位の時刻で示されています。APIへのアクセスの記録（いつ・どの端末やIPから・何件返したか）を数か月以上残しておくと、後から別件で気づいたときに範囲を確かめられます。保存期間の目安として、カード業界の基準（PCI DSS）は監査ログを12か月保存することを求めています。

同社によれば、取得は4月27日夜から4月30日午後まで（約2日18時間）にわたって「継続的に」行われていたおそれがあります。一般に、APIでは利用者1人・端末1台・IPアドレス1つあたりの取得件数に上限を設け、上限の8割に達したら担当者に通知する作りが、大量の取得に早く気づく最初の一歩になります。測る場所と設定の例は レート制限と濫用対策 にまとめています。

同社は、修正前に発行したログイン用の認証情報をすべて無効化したとしています。漏れたおそれのある認証情報を全員分まとめて無効にできれば、利用者が何もしなくても、古い認証情報での成りすましを止められます。自社のアプリでも、トークンを一括で失効させる手順と、そのあと利用者にどうログインし直してもらうかを、事前に決めておきます。

取得されたおそれがある項目には、広告ID・プッシュ通知用の識別子・引き継ぎコードなど、利用者が画面で目にしない情報も含まれます。一般に、APIが他の利用者の情報を返す作りでは、IDの書き換えで他人のデータが見えてしまう問題（IDOR）にも注意が要ります。今回の原因がそうだとは同社は書いていませんが、APIが返す項目と、誰の情報を返してよいかの確認は、見直しの起点になります。