Green Monster의 FX Navi 앱 정보 유출 가능성(약 619만 건): 이메일 주소와 설문 응답 포함, 이용자가 해야 할 일

회사는 자사 또는 관련 기업을 사칭한 의심스러운 이메일이 도착할 수 있다고 경고하며, 예상하지 못한 이메일의 URL이나 첨부 파일을 열지 말 것을 요청했다. 이메일 주소는 취득 항목에 포함되며 66,003건이다.

계정 확인, 사과, 캠페인 경품처럼 FX Navi 이용자에게 자연스러워 보이는 제목이라도 링크를 눌러 행동하지 마십시오(피싱이란 무엇인가? 참고).

X(구 트위터) ID도 취득 항목에 포함되며 6,434건이다. FX Navi 계정에서 온 것처럼 보이는 다이렉트 메시지와 “이용자 전용 그룹” 초대는 무시하십시오.

진짜인지 확인하려면 메시지의 링크가 아니라 직접 공식 앱을 열거나 FX Navi 공식 계정의 게시물을 확인하십시오.

회사는 이메일이나 메시지로 비밀번호, 은행 계좌 정보, 신용카드 정보를 요구하지 않으며 투자를 권유하지 않는다고 밝혔다.

자동 매매 도구를 판매하거나 매매 시그널을 제공하거나 해외 거래 계좌를 개설하라거나 지정된 계좌에 입금하라고 재촉하는 메시지는, FX Navi 이름을 사용했다면 가짜다. 이름을 쓰지 않았더라도 매매 결과나 연령대를 알고 있는 것처럼 보이는 제안은 의심하십시오.

회사는 수정 이전에 발급된 모든 로그인 자격 증명을 무효화했다고 밝혔다. 발표문은 이용자가 다시 로그인해야 하는지, 그 밖에 무엇을 해야 하는지는 밝히지 않았다.

다시 로그인해야 한다는 이메일을 받았다면 앱을 다시 설치하거나 이메일의 링크로 로그인하지 마십시오. App Store나 Google Play에서 설치한 공식 앱을 열어 그곳에서 확인하십시오.

계정 이관 코드(5,120건)가 어떻게 처리되었는지, 내 데이터가 포함되었는지 등 발표문이 답하지 않은 질문은 회사(이메일: fxnavi-202610@greenmonster.co.jp)에 문의하십시오.

받은 이메일에 적힌 주소가 아니라 회사 웹사이트 공지에 있는 주소를 사용하십시오.

회사에 따르면 4월의 취득은 10월의 별도 무단 접근을 조사하던 중 발견되었으며, 기간은 분 단위까지 공개되었다. API 접근 기록(언제, 어떤 기기나 IP 주소에서, 몇 건이 반환되었는지)을 여러 달 이상 보관하면 나중에 이상을 발견했을 때 범위를 확인할 수 있다. 보관 기간의 참고 기준으로, 카드 업계 표준인 PCI DSS는 감사 로그를 12개월 동안 보관하도록 요구한다.

회사에 따르면 데이터는 4월 27일 저녁부터 4월 30일 오후까지(약 2일 18시간) “지속적으로” 취득되었을 가능성이 있다. 일반적으로 사용자, 기기, IP 주소별 반환 건수에 상한을 두고, 상한의 80%에 도달하면 담당자에게 알리도록 하는 것이 대량 취득을 일찍 발견하는 첫걸음이다. 측정 위치와 설정 예시는 요청 제한과 남용 방지에 정리되어 있다.

회사는 수정 이전에 발급된 모든 로그인 자격 증명을 무효화했다고 밝혔다. 유출되었을 가능성이 있는 자격 증명을 한 번에 모두 폐기할 수 있다면, 이용자가 아무 조치를 하지 않아도 이전 자격 증명을 이용한 사칭이 멈춘다. 자사 앱이라면 모든 토큰을 한꺼번에 폐기하는 방법과, 그 뒤 이용자가 다시 로그인하는 방법을 미리 정해 두십시오.

취득되었을 가능성이 있는 항목에는 광고 ID, 푸시 알림 식별자, 계정 이관 코드처럼 이용자가 화면에서 보지 못하는 데이터도 포함된다. 일반적으로 다른 사용자의 데이터를 반환하는 API는, 요청의 ID를 바꾸면 다른 사람의 데이터가 노출되는 문제(IDOR)에 대한 보호도 필요하다. 회사는 이번 사건의 원인이 이것이라고 밝히지 않았지만, API가 어떤 필드를 반환하고 누구의 데이터를 반환할 수 있는지 검토하는 것은 좋은 출발점이다.