Для: пользователей FX Navi (FXなび), японского приложения для демо-торговли на форексе, которое управляется Green Monster Inc., и всех, кто поддерживает API мобильного приложения. Статья основана на официальных уведомлениях компании и не описывает методы атак или мошенничества.
Ситуация развивается: статья будет обновляться по мере публикации новых сведений организацией
По состоянию на 26 октября 2026 годаПока неизвестно
- Были ли данные действительно получены («могли быть получены» — на данный момент)
- Сколько людей затронуто (6,19 млн — это число записей)
- Какая функция API стала причиной
- Из чего состоят учетные данные для входа и коды переноса, и как обрабатывались коды переноса
- Будут ли пострадавшие пользователи уведомлены индивидуально
- Конкретные меры по предотвращению повторения
В объявлении от 23 октября компания говорит, что опубликует конкретные меры по предотвращению повторения после учета результатов расследования. В её уведомлении для фондовой биржи сказано, что влияние на прибыль рассматривается и что она незамедлительно раскроет информацию, если это потребуется. Когда этот сайт проверял список новостей компании 26 октября, никаких дополнительных сообщений опубликовано не было.
Что пользователям FX Navi нужно сделать сегодня
Не открывайте URL-адреса и вложения в письмах, которые якобы отправлены компанией
Компания предупреждает, что могут поступать подозрительные письма, выдающие себя за письма от неё или связанных компаний, и просит пользователей не открывать URL-адреса и вложения в неожиданных письмах. Адреса электронной почты входят в список полученных данных: 66 003 записи.
Даже темы писем, которые выглядят естественно для пользователей FX Navi, например проверка аккаунта, извинения или призы по акции, не стоит проверять по ссылке из письма (см. Что такое фишинг?).
Не отвечайте на личные сообщения в X, которые используют название FX Navi
ID в X (ранее Twitter) также входят в список полученных данных: 6 434 записи. Игнорируйте личные сообщения, которые похожи на сообщения от аккаунта FX Navi, и приглашения в «группы только для пользователей».
Чтобы проверить подлинность, откройте официальное приложение сами или посмотрите публикации в официальном аккаунте FX Navi, а не переходите по ссылке из сообщения.
Игнорируйте предложения об инвестициях, даже если они используют название FX Navi
Компания говорит, что никогда не будет запрашивать пароли, данные банковского счета или кредитной карты по электронной почте или в сообщениях и не будет предлагать инвестиции.
Сообщения, которые продают автоматизированные торговые инструменты, предлагают торговые сигналы или призывают открыть зарубежный торговый счет либо внести деньги на указанный счет, являются поддельными, если используют название FX Navi. Даже если такого названия нет, будьте осторожны с предложениями, которые знают ваши результаты торговли или возрастную группу.
Используйте приложение, установленное из официального магазина
Компания говорит, что аннулировала все учетные данные для входа, выпущенные до исправления. В объявлении не сказано, нужно ли пользователям войти в систему заново и что им ещё нужно сделать.
Если в письме говорится, что нужно войти снова, не переустанавливайте приложение и не входите по ссылке из письма. Откройте официальное приложение, установленное из App Store или Google Play, и проверьте там.
По всем неясным вопросам обращайтесь по контакту из объявления
Если объявление не отвечает на вопросы, например как обрабатывались коды переноса аккаунтов (5 120 записей) или включены ли ваши данные, свяжитесь с компанией (эл. почта: fxnavi-202610@greenmonster.co.jp).
Используйте адрес из уведомления на сайте компании, а не адрес, указанный в полученном вами письме.
Сообщение, которое знает ваши результаты или возрастную группу, не обязательно подлинное
Возможно полученные данные включают возрастную группу, пол, категорию рода занятий, ответы на опрос при первом запуске и данные об использовании, например результаты торговли. Сообщение вроде «мы проверили ваши результаты торговли», которое упоминает то, что должны знать только пользователи, не доказывает, что оно отправлено компанией. При любых сомнениях проверьте в официальном приложении или в уведомлениях на сайте компании.
Что произошло (по объявлению Green Monster)
23 октября 2026 года Green Monster Inc. опубликовала уведомление на своем сайте и раскрытие информации для Токийской фондовой биржи о возможной утечке информации пользователей её приложения FX Navi (в документе для биржи указано, что это первое сообщение). Всё ниже взято из объявления компании.
Около 20:26 в понедельник, 27 апреля 2026 года, до около 14:26 в четверг, 30 апреля
Период, в который сторонняя сторона, возможно, непрерывно получала информацию пользователей FX Navi (выявлено в ходе октябрьского расследования).Суббота, 17 октября
Компания обнаружила несанкционированный доступ к приложению со стороны третьей стороны и начала расследование. Утечка информации пользователей в результате этого доступа не подтверждена.В ходе расследования
Выяснилось, что сбор в апреле, возможно, был выполнен сторонней стороной, использовавшей IP-адрес, отличный от адреса октябрьского доступа. Причиной была установлена функция API приложения.К пятнице, 23 октября
Функция API и учетные данные для входа исправлены, все учетные данные, выпущенные до исправления, аннулированы (дата не указана).Пятница, 23 октября
Объявлено в уведомлении на сайте компании и в раскрытии информации для биржи (первое сообщение).
- Объем
- Информация пользователей демо-приложения для торговли на форексе FX Navi. Около 6,19 млн записей (включая данные, не являющиеся персональными)
- Информация пользователей
- Адрес электронной почты (66 003), псевдоним, пол (142 578), возрастная группа (139 293), категория рода занятий (149 137), ID в X (ранее Twitter) (6 434), текст о себе, URL изображения значка
- Информация из опросов
- Ответы на опрос при первом запуске (4 809 631)
- Информация об использовании приложения
- Идентификатор устройства, учетные данные для входа, код переноса аккаунта (5 120), идентификатор push-уведомлений, рекламный идентификатор, исходный IP-адрес, данные об использовании (например, результаты торговли)
- Не может быть указано
- Имя, адрес, номер телефона, дата рождения, данные кредитной карты, реквизиты банковского счета, Мой номер
- Причина
- Установлено, что это функция API приложения. Дополнительных подробностей не опубликовано
- Реакция
- Исправлена функция API, исправлены учетные данные для входа, аннулированы все учетные данные, выпущенные до исправления. Расследование ведется с привлечением внешних экспертов
- Ущерб
- Публикация данных, выдача себя за другое лицо или иной вторичный ущерб не подтверждены (по состоянию на 23 октября)
- Другие сервисы
- Другие сервисы компании, Kabutasu (株たす) и Toushika (トウシカ), также проверяются. Сбор информации пользователей из них не подтвержден
- Контакт
- Эл. почта: fxnavi-202610@greenmonster.co.jp
Контактные данные
Адрес электронной почты, ID в X
Профиль
Возрастная группа, пол, род занятий, ответы на опрос
Использование приложения
Данные об использовании, например результаты, псевдоним
↓ Что может произойти в общих случаях
Убедительные предложения и поддельные уведомления для людей, интересующихся инвестициями
Выдаются за письма, личные сообщения в X или приглашения в группы
↓ Не выполняйте их инструкции
Проверяйте в официальном приложении или в уведомлениях на сайте компании
Что известно и что неизвестно
На основе объявления компании по состоянию на 26 октября 2026 года (уведомление от 23 октября и документ для фондовой биржи). Столбец статуса будет обновляться по мере публикации новых сведений.
| Данные | Что объявлено | Статус |
|---|---|---|
| Адрес электронной почты, ID в X | 66 003 и 6 434 записи | Возможно (компания) |
| Псевдоним, пол, возрастная группа, род занятий, текст о себе, URL изображения значка | Указаны количества по полу, возрастной группе и роду занятий | Возможно (компания) |
| Ответы на опрос при первом запуске | 4 809 631 запись | Возможно (компания) |
| Учетные данные для входа | Все, выпущенные до исправления, аннулированы. Содержание не указано | Возможно (компания) |
| Код переноса аккаунта | 5 120 записей. Аннулированы ли они, не указано | Возможно (компания) |
| Идентификатор устройства, идентификатор push-уведомлений, рекламный идентификатор, IP-адрес, данные об использовании | Количество не указано | Возможно (компания) |
| Имя, адрес, телефон, дата рождения, карта, банк, Мой номер | Не относятся к данным, которые пользователи могут указать в приложении | Не входят (компания) |
| Количество записей | Около 6,19 млн (включая данные, не являющиеся персональными). Количество людей не указано | Объявление компании |
| Период возможного сбора | С около 20:26 27 апреля до около 14:26 30 апреля | Объявление компании |
| Несанкционированный доступ 17 октября | Утечка в результате этого доступа не подтверждена | Не подтверждено (компания) |
| Причина | Функция API приложения. Подробностей нет | Расследуется |
| Вторичный ущерб | Публикация данных или выдача себя за другое лицо не подтверждены (по состоянию на 23 октября) | Не подтверждено (компания) |
| Влияние на Kabutasu и Toushika | Сбор не подтвержден. Расследуется | Не подтверждено (компания) |
| Индивидуальные уведомления пострадавшим пользователям | В объявлении не упоминаются | Не указано |
| Сообщение в Комиссию по защите персональной информации Японии | В объявлении не упоминается | Не указано |
Почему эта статья не говорит о 6,19 млн человек
В заголовке объявления компании указано «количество затронутых пользователей», но в тексте приводится цифра около 6,19 млн записей с информацией пользователей, и не сказано, скольких людей это касается. Самая большая группа — ответы на опрос при первом запуске (4 809 631); адреса электронной почты составляют 66 003. Компания говорит, что эта цифра включает данные, не являющиеся персональными. Эта статья не пересчитывает записи в людей и показывает количество по каждому пункту так, как оно опубликовано.
Что может произойти, если адреса электронной почты, ID в X и профили инвесторов утекут вместе
В общем случае, когда контактные данные утекают вместе с информацией о том, что человек интересуется инвестициями, они могут использоваться как список целей для инвестиционного мошенничества (компания не объявляла, что это произошло в данном случае).
Что может произойти в общем случае
- Поддельные акции или вознаграждения, которые используют название FX Navi или связанной компании
- Предложения автоматизированных торговых инструментов или сервисов сигналов, подобранных под возрастную группу или результаты
- Личные сообщения в X, которые ведут в сторонние группы и призывают вносить деньги на зарубежные счета
Что вы можете сделать
- Проверяйте любое уведомление в официальном приложении или на сайте компании
- Кем бы ни представился отправитель, не вносите деньги и не регистрируйтесь сразу
- Не используйте контактные данные или ссылки, указанные в письмах или личных сообщениях
Другой случай, когда утекли адреса электронной почты и данные участников, а также о том, как подготовиться к поддельным сообщениям, см. в статье об утечке в приложении Yakiniku King. Общие способы распознать поддельные службы поддержки см. в статье о поддельных предупреждениях о вирусах и мошенничестве со службами поддержки.
Для тех, кто поддерживает API мобильного приложения
Компания лишь сообщила, что причиной стала функция API приложения; какая именно функция и что пошло не так, неизвестно. Этот раздел опирается только на опубликованную хронологию и перечень данных. Здесь не строятся догадки о причине и не утверждается, что одно исправление предотвратило бы инцидент.
Ведите записи, которые позволяют проверить события за шесть месяцев
По словам компании, сбор в апреле был выявлен в ходе расследования отдельного несанкционированного доступа в октябре, и период указан с точностью до минуты. Хранение записей обращений к API (когда, с какого устройства или IP-адреса, сколько записей было возвращено) в течение нескольких месяцев или дольше позволяет проверить масштаб, если проблема заметна позже. В качестве ориентира по срокам хранения стандарт индустрии платежных карт PCI DSS требует хранить журналы аудита 12 месяцев.
Ограничьте объем данных, который может получить один клиент, и настройте оповещения
По словам компании, данные, возможно, получались «непрерывно» с вечера 27 апреля до середины дня 30 апреля (около 2 суток и 18 часов). В общем случае установка ограничения на количество записей на пользователя, устройство и IP-адрес, а также оповещение, когда достигается 80% лимита, — первый шаг к тому, чтобы заметить массовый сбор данных на раннем этапе. Где измерять и примеры настроек описаны в статье об ограничении частоты запросов и контроле злоупотреблений.
Умейте аннулировать все выпущенные учетные данные одновременно
Компания говорит, что аннулировала все учетные данные для входа, выпущенные до исправления. Если можно отозвать за один шаг все учетные данные, которые могли утечь, выдача себя за пользователя по старым учетным данным прекращается без каких-либо действий со стороны пользователей. Для собственного приложения заранее решите, как отозвать все токены сразу и как пользователи будут входить в систему после этого.
Ограничьте то, что API возвращает, тем, что нужно экрану
Возможно полученные данные включают сведения, которые пользователи никогда не видят на экране, например рекламные идентификаторы, идентификаторы push-уведомлений и коды переноса аккаунтов. В общем случае API, которые возвращают данные других пользователей, также нуждаются в защите от проблемы, когда изменение идентификатора в запросе открывает чужие данные (IDOR). Компания не говорила, что это была причина в данном случае, но проверка того, какие поля возвращает API и чьи данные он может вернуть, — хорошая отправная точка.
Источники (открытые публикации)
Факты в этой статье основаны на приведенных ниже открытых сведениях. Подробности о причине и способе сбора, которые не раскрыты, не домысливаются.
- Green Monster Inc., «Извинения и уведомление о возможной утечке информации пользователей нашего приложения FX Navi» (23 октября 2026 года, на японском языке) — greenmonster.co.jp
- Green Monster Inc., «Сообщение о возможной утечке информации пользователей нашего приложения FX Navi (первое сообщение)» (23 октября 2026 года, раскрытие для биржи, на японском языке) — TDnet (PDF)
История обновлений
2026-10-26: Первая версия, основана на уведомлении Green Monster от 23 октября и раскрытии для биржи (первое сообщение). Будет обновляться по мере публикации сведений о причине, пострадавших пользователях или мерах по предотвращению.
Читайте далее
- Подготовка к поддельным письмам: Что такое фишинг?
- Утечки данных участников мобильных приложений: утечка в приложении Yakiniku King / утечка в приложении Seicomart
- Пароли: как проверить, утек ли ваш пароль
- Инцидент, затронувший среды для торговли на форексе: несанкционированный доступ к Onamae.com Desktop Cloud
- Защита API: ограничение частоты запросов и контроль злоупотреблений / Что такое IDOR?
- Другие инциденты 2026 года: утечки данных и кибератаки в 2026 году (Япония и мир)