Para: usuários do FX Navi (FXなび), app japonês de negociação demo de forex operado pela Green Monster Inc., e qualquer pessoa que administre uma API de app móvel. Este artigo se baseia nos comunicados oficiais da empresa e não trata de técnicas de ataque ou golpes.
Em desenvolvimento: este artigo será atualizado conforme a organização publicar mais informações
Em 26 de outubro de 2026Ainda não se sabe
- Se os dados foram de fato obtidos (atualmente “podem ter sido”)
- Quantas pessoas foram afetadas (6,19 milhões contam registros)
- Qual função da API causou o incidente
- Do que são compostas as credenciais de login e os códigos de transferência, e como os códigos de transferência foram tratados
- Se os usuários afetados serão notificados individualmente
- Medidas específicas para evitar a recorrência
No comunicado de 23 de outubro, a empresa diz que anunciará medidas específicas para evitar a recorrência após analisar os resultados da investigação. Seu comunicado à bolsa de valores diz que o impacto nos resultados está em análise e que divulgará prontamente caso seja necessário informar algo. Quando este site consultou a lista de notícias da empresa em 26 de outubro, nenhuma atualização havia sido publicada.
O que os usuários do FX Navi devem fazer hoje
Não abra URLs ou anexos em e-mails que aleguem ser da empresa
A empresa alerta que podem chegar e-mails suspeitos que se passam por ela ou por empresas relacionadas, e pede aos usuários que não abram URLs ou anexos em e-mails inesperados. Os endereços de e-mail estão entre os itens, com 66.003 registros.
Mesmo assuntos que parecem naturais para usuários do FX Navi, como verificação de conta, pedidos de desculpas ou prêmios de campanhas, não devem ser seguidos pelo link (veja O que é phishing?).
Não responda a mensagens diretas no X que usem o nome FX Navi
IDs do X (antigo Twitter) também estão entre os itens, com 6.434 registros. Ignore mensagens diretas que pareçam vir de uma conta do FX Navi, e convites para “grupos exclusivos para usuários”.
Para verificar se algo é autêntico, abra o app oficial você mesmo ou veja as publicações na conta oficial do FX Navi, e não o link da mensagem.
Ignore ofertas de investimento, mesmo que usem o nome FX Navi
A empresa diz que nunca pedirá senhas, dados de conta bancária ou dados de cartão de crédito por e-mail ou mensagem, e não fará solicitações de investimento.
Mensagens que vendem ferramentas de negociação automática, oferecem sinais de negociação ou pedem para você abrir uma conta de negociação no exterior ou depositar dinheiro em uma conta indicada são falsas se usarem o nome FX Navi. Mesmo sem ele, desconfie de ofertas que conheçam seus resultados de negociação ou sua faixa etária.
Use o app instalado na loja oficial
A empresa diz que invalidou todas as credenciais de login emitidas antes da correção. O anúncio não diz se os usuários precisam entrar novamente nem o que mais devem fazer.
Se um e-mail disser que você precisa entrar novamente, não reinstale o app nem entre pelo link dele. Abra o app oficial que você instalou pela App Store ou pelo Google Play e verifique por lá.
Pergunte ao contato indicado no anúncio sobre o que não estiver claro
Para dúvidas que o anúncio não responde, como o tratamento dos códigos de transferência de conta (5.120 registros) ou se seus dados estão incluídos, entre em contato com a empresa (e-mail: fxnavi-202610@greenmonster.co.jp).
Use o endereço do comunicado no site da empresa, não o que estiver escrito em um e-mail que você recebeu.
Uma mensagem que conhece seus resultados ou sua faixa etária não é necessariamente autêntica
Os itens que podem ter sido obtidos incluem faixa etária, gênero, categoria de ocupação, respostas da pesquisa de primeira abertura e dados de uso, como resultados de negociações. Uma mensagem como “revisamos seus resultados de negociação” que mencione coisas que só os usuários deveriam saber não comprova que veio da empresa. Em caso de dúvida, verifique no app oficial ou nos comunicados no site da empresa.
O que aconteceu (segundo o anúncio da Green Monster)
Em 23 de outubro de 2026, a Green Monster Inc. publicou um comunicado em seu site e uma divulgação relevante na Bolsa de Valores de Tóquio sobre um possível vazamento de informações de usuários do seu app FX Navi (o documento é identificado como primeiro relatório). Tudo a seguir vem do comunicado da empresa.
Por volta das 20h26 de segunda-feira, 27 de abril de 2026, até por volta das 14h26 de quinta-feira, 30 de abril
O período em que um terceiro pode ter obtido continuamente informações de usuários do FX Navi (identificado na investigação de outubro).Sábado, 17 de outubro
A empresa identificou acesso não autorizado ao app por um terceiro e iniciou uma investigação. Não foi confirmado vazamento de informações de usuários decorrente desse acesso.Durante a investigação
Constatou-se que a coleta de abril pode ter vindo de um terceiro que utilizava um endereço IP diferente do acesso de outubro. A causa foi confirmada como uma função da API do app.Até sexta-feira, 23 de outubro
A função da API e as credenciais de login foram corrigidas, e todas as credenciais de login emitidas antes da correção foram invalidadas (sem data informada).Sexta-feira, 23 de outubro
Anunciado em comunicado no site da empresa e em divulgação relevante (primeiro relatório).
- Escopo
- Informações de usuários do app de negociação demo de forex FX Navi. Cerca de 6,19 milhões de registros (incluindo dados que não são informações pessoais)
- Informações de usuários
- Endereço de e-mail (66.003), apelido, gênero (142.578), faixa etária (139.293), categoria de ocupação (149.137), ID do X (antigo Twitter) (6.434), texto de autoapresentação, URL da imagem de ícone
- Informações de pesquisa
- Respostas da pesquisa de primeira abertura (4.809.631)
- Informações de uso do app
- ID do dispositivo, credenciais de login, código de transferência de conta (5.120), identificador de notificação push, ID de publicidade, endereço IP de origem, dados de uso (como resultados de negociações)
- Não cadastráveis
- Nome, endereço, número de telefone, data de nascimento, dados de cartão de crédito, dados de conta bancária, My Number
- Causa
- Confirmada como uma função da API do app. Nenhum detalhe adicional foi divulgado
- Resposta
- Função da API corrigida, credenciais de login corrigidas e todas as credenciais de login emitidas antes da correção invalidadas. Investigação com orientação de especialistas externos
- Danos
- Nenhuma publicação dos dados, personificação ou outro dano secundário confirmado (até 23 de outubro)
- Outros serviços
- Os outros serviços da empresa, Kabutasu (株たす) e Toushika (トウシカ), também estão sendo investigados. Nenhuma coleta de informações de usuários deles foi confirmada
- Contato
- E-mail: fxnavi-202610@greenmonster.co.jp
Dados de contato
Endereço de e-mail, ID do X
Perfil
Faixa etária, gênero, ocupação, respostas de pesquisa
Uso do app
Dados de uso, como resultados, apelido
↓ O que, em geral, pode acontecer
Ofertas convincentes e comunicados falsos para pessoas interessadas em investir
Disfarçados de e-mails, mensagens diretas no X ou convites para grupos
↓ Não siga as instruções
Verifique no app oficial ou nos comunicados no site da empresa
O que se sabe e o que não se sabe
Com base no anúncio da empresa em 26 de outubro de 2026 (o comunicado de 23 de outubro e o comunicado à bolsa). A coluna de status será atualizada quando houver novas informações.
| Item | O que foi anunciado | Status |
|---|---|---|
| Endereço de e-mail, ID do X | 66.003 e 6.434 registros | Possível (empresa) |
| Apelido, gênero, faixa etária, ocupação, autoapresentação, URL da imagem de ícone | Contagens informadas para gênero, faixa etária e ocupação | Possível (empresa) |
| Respostas da pesquisa de primeira abertura | 4.809.631 registros | Possível (empresa) |
| Credenciais de login | Todas as emitidas antes da correção foram invalidadas. Conteúdo não informado | Possível (empresa) |
| Código de transferência de conta | 5.120 registros. Não informado se foram invalidados | Possível (empresa) |
| ID do dispositivo, identificador de notificação push, ID de publicidade, endereço IP, dados de uso | Sem contagens informadas | Possível (empresa) |
| Nome, endereço, telefone, data de nascimento, cartão, banco, My Number | Não são itens que os usuários podem cadastrar no app | Não incluídos (empresa) |
| Número de registros | Cerca de 6,19 milhões (incluindo dados não pessoais). Número de pessoas não informado | Anúncio da empresa |
| Período da possível coleta | Por volta das 20h26 de 27 de abril até por volta das 14h26 de 30 de abril | Anúncio da empresa |
| Acesso não autorizado de 17 de outubro | Nenhum vazamento desse acesso confirmado | Não confirmado (empresa) |
| Causa | Uma função da API do app. Sem detalhes | Em investigação |
| Dano secundário | Nenhuma publicação de dados ou personificação confirmada (até 23 de outubro) | Não confirmado (empresa) |
| Impacto em Kabutasu e Toushika | Nenhuma coleta confirmada. Em investigação | Não confirmado (empresa) |
| Notificações individuais aos usuários afetados | Não mencionadas no anúncio | Não informado |
| Comunicação à Comissão de Proteção de Informações Pessoais do Japão | Não mencionada no anúncio | Não informado |
Por que este artigo não fala em 6,19 milhões de pessoas
O título do anúncio da empresa diz “número de usuários abrangidos”, mas o texto informa cerca de 6,19 milhões de registros de informações de usuários e não diz quantas pessoas isso representa. O item mais numeroso são as respostas da pesquisa de primeira abertura (4.809.631); os endereços de e-mail somam 66.003. A empresa diz que o número inclui dados que não são informações pessoais. Este artigo não converte registros em pessoas e mostra a contagem de cada item como foi publicada.
O que pode acontecer quando endereços de e-mail, IDs do X e perfis de investidores vazam juntos
Em geral, quando dados de contato vazam junto com o fato de que uma pessoa tem interesse em investir, eles podem ser usados como lista de alvos para golpes de investimento (a empresa não anunciou que isso tenha acontecido aqui).
O que, em geral, pode acontecer
- Campanhas ou recompensas falsas que usam o nome do FX Navi ou de uma empresa relacionada
- Ofertas de ferramentas de negociação automática ou serviços de sinais adaptadas à faixa etária ou aos resultados
- Mensagens diretas no X que levam a grupos externos e pedem depósitos em contas no exterior
O que você pode fazer
- Verifique qualquer comunicado no app oficial ou no site da empresa
- Quem quer que o remetente diga ser, não deposite dinheiro nem se cadastre na hora
- Não use dados de contato ou links escritos em e-mails ou mensagens diretas
Para outro caso em que endereços de e-mail e dados de membros vazaram, e como se preparar para mensagens falsas, veja o incidente do app Yakiniku King. Para formas gerais de identificar falsos contatos de suporte, veja alertas falsos de vírus e golpes de suporte técnico.
Para quem administra uma API de app móvel
A empresa apenas disse que a causa foi uma função da API do app; não se sabe qual função nem o que deu errado. Esta seção se atém ao que decorre da linha do tempo e dos itens publicados. Não especula sobre a causa nem afirma que uma única correção teria evitado o problema.
Mantenha registros que permitam olhar para trás por seis meses
Segundo a empresa, a coleta de abril foi identificada durante a investigação de um acesso não autorizado separado, em outubro, e o período é informado com precisão de minutos. Manter registros de acesso à API (quando, de qual dispositivo ou endereço IP, quantos registros foram retornados) por vários meses ou mais permite verificar a extensão do problema quando algo for notado mais tarde. Como referência de retenção, o padrão da indústria de cartões PCI DSS exige que logs de auditoria sejam mantidos por 12 meses.
Limite quanto um cliente pode obter e gere alertas
Segundo a empresa, os dados podem ter sido obtidos “continuamente” do fim da tarde de 27 de abril à tarde de 30 de abril (cerca de 2 dias e 18 horas). Em geral, definir um limite de registros por usuário, por dispositivo e por endereço IP, e emitir um alerta quando 80% do limite for atingido, é um primeiro passo para notar cedo a coleta em massa. Onde medir e exemplos de configuração estão em limitação de taxa e controle de abuso.
Seja capaz de invalidar todas as credenciais de login emitidas de uma vez
A empresa diz que invalidou todas as credenciais de login emitidas antes da correção. Se você puder revogar, em uma única etapa, todas as credenciais que possam ter vazado, a personificação com credenciais antigas para sem que os usuários precisem fazer nada. No seu próprio app, defina antecipadamente como revogar todos os tokens de uma vez e como os usuários voltarão a entrar depois.
Limite o que a API retorna ao que a tela precisa
Os itens que podem ter sido obtidos incluem dados que os usuários nunca veem na tela, como IDs de publicidade, identificadores de notificação push e códigos de transferência de conta. Em geral, APIs que retornam dados de outros usuários também precisam de proteção contra o problema em que a troca de um ID em uma requisição expõe os dados de outra pessoa (IDOR). A empresa não disse que isso foi a causa aqui, mas revisar quais campos a API retorna e de quem são os dados que ela pode retornar é um bom ponto de partida.
Fontes (registros públicos)
Os fatos deste artigo se baseiam nas informações públicas abaixo. Detalhes sobre a causa e o método de coleta, que não foram divulgados, não são especulados.
- Green Monster Inc., “Pedido de desculpas e comunicado sobre um possível vazamento de informações de usuários do nosso app FX Navi” (23 de outubro de 2026, em japonês) — greenmonster.co.jp
- Green Monster Inc., “Relatório sobre um possível vazamento de informações de usuários do nosso app FX Navi (primeiro relatório)” (23 de outubro de 2026, divulgação relevante, em japonês) — TDnet (PDF)
Histórico de atualizações
2026-10-26: Primeira versão, com base no comunicado de 23 de outubro da Green Monster e na divulgação relevante (primeiro relatório). Será atualizada quando forem publicadas novidades sobre a causa, os usuários afetados ou as medidas de prevenção.
Leia em seguida
- Como se preparar para e-mails falsos: O que é phishing?
- Vazamentos de dados de membros de apps: o incidente do app Yakiniku King / o incidente do app Seicomart
- Senhas: como verificar se sua senha vazou
- Um incidente que afetou ambientes de negociação de forex: acesso não autorizado ao Onamae.com Desktop Cloud
- Proteção de APIs: limitação de taxa e controle de abuso / O que é IDOR?
- Outros incidentes de 2026: vazamentos de dados e ataques cibernéticos em 2026 (Japão e no mundo)