适用对象：Green Monster株式会社运营的日本外汇模拟交易应用FX Navi（FXなび）的用户，以及运营移动应用API的任何人。本文基于公司官方公告撰写，不涉及攻击或诈骗手法。
事态发展中：公司发布更多信息后，本文将随之更新
截至2026年10月26日尚不明确
- 数据是否确实已被获取（目前为“可能已被获取”）
- 涉及的人数（619万为记录条数）
- 是哪项API功能导致的问题
- 登录凭证和转移代码的具体构成，以及转移代码如何处理
- 是否会向受影响用户单独通知
- 具体的防止再发生措施
在10月23日的公告中，公司表示将在整理调查结果后公布具体的防止再发生措施。其证券交易所披露文件称，对业绩的影响正在评估中，如有需要披露的事项将及时披露。本站于10月26日查看公司新闻列表时，尚未发布后续信息。
FX Navi用户今天应做什么
请勿打开冒充公司的邮件中的网址或附件
公司提醒，可能会收到冒充公司或相关企业的可疑邮件，并请用户不要打开意外邮件中的网址或附件。邮箱地址在可能被获取的项目之列，记录数为66,003条。
即使邮件主题看起来对FX Navi用户很自然，例如账户核查、致歉或活动奖品等，也不要通过其中的链接进行操作（参见什么是网络钓鱼？）。
不要回复打着FX Navi名义的X私信
X（原Twitter）ID同样在可能被获取的项目之列，记录数为6,434条。请忽略看似来自FX Navi账户的私信，以及邀请加入“仅限用户”群组的消息。
要判断信息是否真实，请自行打开官方应用，或查看FX Navi官方账户发布的内容，而不是点击消息中的链接。
即使打着FX Navi名义，也应忽略投资邀约
公司表示，绝不会通过邮件或消息索取密码、银行账户信息或信用卡信息，并且不会招揽投资。
如果打着FX Navi名义，推销自动交易工具、提供交易信号，或催促您开设海外交易账户或向指定账户存款，均属虚假信息。即使未打着FX Navi名义，对于知道您的交易结果或年龄段的邀约也应保持警惕。
使用从官方应用商店安装的应用
公司表示，已使修复前签发的所有登录凭证失效。公告未说明用户是否需要重新登录，也未说明用户还需采取哪些措施。
如果邮件称您需要重新登录，请不要重新安装应用，也不要通过邮件中的链接登录。请打开您从App Store或Google Play安装的官方应用，在其中进行查看。
对于不清楚的问题，请咨询公告中的联系方式
对于公告未回答的问题，例如账户转移代码（5,120条记录）如何处理，或您的数据是否包含在内，请联系公司（邮箱：fxnavi-202610@greenmonster.co.jp）。
请使用公司官网通知中的地址，而不是您收到的邮件中写明的地址。
知道您的结果或年龄段的消息未必是真实的
可能已被获取的项目包括年龄段、性别、职业类别、首次启动问卷答案，以及交易结果等使用数据。如果一条消息提到“我们已审核您的交易结果”等只有用户才应知道的内容，这并不能证明它来自公司。如有任何疑问，请在官方应用或公司官网的通知中核实。
发生了什么（来自Green Monster的公告）
2026年10月23日，Green Monster株式会社在其官网发布通知，并在东京证券交易所发布了关于其应用FX Navi用户信息可能泄露的适时披露（该文件标注为首次报告）。以下内容均来自公司公告。
2026年4月27日（周一）约20:26至4月30日（周四）约14:26
在此期间，外部人员可能持续获取了FX Navi的用户信息（在10月的调查中发现）。10月17日（周六）
公司发现外部人员未经授权访问该应用，并开始调查。尚未确认此次访问造成了用户信息泄露。调查期间
调查发现，4月的信息收集可能来自使用与10月访问不同IP地址的外部人员。原因被确认为应用API的一项功能。截至10月23日（周五）
API功能和登录凭证已修复，修复前签发的所有登录凭证均已失效（公告未注明具体日期）。10月23日（周五）
通过公司官网通知及适时披露发布（首次报告）。
- 范围
- 外汇模拟交易应用FX Navi的用户信息。约619万条记录（包括不属于个人信息的数据）
- 用户信息
- 邮箱地址（66,003）、昵称、性别（142,578）、年龄段（139,293）、职业类别（149,137）、X（原Twitter）ID（6,434）、自我介绍文本、头像图片URL
- 问卷信息
- 首次启动问卷答案（4,809,631）
- 应用使用信息
- 设备ID、登录凭证、账户转移代码（5,120）、推送通知标识符、广告ID、来源IP地址、使用数据（如交易结果）
- 不可登记
- 姓名、住址、电话号码、出生日期、信用卡信息、银行账户信息、My Number
- 原因
- 已确认为应用API的一项功能。尚未公布更多细节
- 应对
- 已修复API功能，已修复登录凭证，并使修复前签发的所有登录凭证失效。正在外部专家建议下调查
- 危害
- 截至10月23日，未确认数据被公开、冒充或其他二次伤害
- 其他服务
- 公司的其他服务Kabutasu（株たす）和Toushika（トウシカ）也在调查之中。尚未确认从这两项服务中获取了用户信息
联系方式
邮箱地址、X ID
个人资料
年龄段、性别、职业、问卷答案
应用使用
结果等使用数据、昵称
↓ 一般可能出现的情况
针对对投资感兴趣人群的有说服力的邀约和虚假通知
伪装成邮件、X私信或群组邀请
↓ 请勿按其指示操作
在官方应用或公司官网通知中核实
已知与未知的信息
以下内容基于截至2026年10月26日公司的公告（10月23日的通知和证券交易所披露文件）。后续发布信息时，状态栏将随之更新。
| 项目 | 公告内容 | 状态 |
|---|---|---|
| 邮箱地址、X ID | 分别为66,003和6,434条记录 | 可能（公司） |
| 昵称、性别、年龄段、职业、自我介绍、头像图片URL | 性别、年龄段和职业给出了统计数字 | 可能（公司） |
| 首次启动问卷答案 | 4,809,631条记录 | 可能（公司） |
| 登录凭证 | 修复前签发的所有凭证已失效。内容未说明 | 可能（公司） |
| 账户转移代码 | 5,120条记录。是否已失效未说明 | 可能（公司） |
| 设备ID、推送通知标识符、广告ID、IP地址、使用数据 | 未给出统计数字 | 可能（公司） |
| 姓名、住址、电话、出生日期、银行卡、银行账户、My Number | 不属于用户可在应用中登记的项目 | 不包括（公司） |
| 记录数 | 约619万条（包括非个人数据）。未说明涉及人数 | 公司公告 |
| 可能的收集时间段 | 4月27日约20:26至4月30日约14:26 | 公司公告 |
| 10月17日未经授权访问 | 尚未确认该访问导致泄露 | 未确认（公司） |
| 原因 | 应用API的一项功能。无更多细节 | 调查中 |
| 二次伤害 | 截至10月23日，未确认数据被公开或冒充 | 未确认（公司） |
| 对Kabutasu和Toushika的影响 | 尚未确认收集行为。调查中 | 未确认（公司） |
| 向受影响用户的个别通知 | 公告未提及 | 未说明 |
| 向日本个人信息保护委员会报告 | 公告未提及 | 未说明 |
为什么本文不说涉及619万人
公司公告中的标题写的是“涵盖的用户数”，但正文给出的数字是约619万条用户信息记录，并未说明涉及多少人。数量最多的是首次启动问卷答案（4,809,631条），邮箱地址为66,003个。公司表示，该数字包括不属于个人信息的数据。本文不将记录换算为人数，而是按公告所列数字分别展示各项数量。
邮箱地址、X ID和投资者画像一同泄露可能带来的后果
一般而言，当联系方式与某人对投资感兴趣的信息一同泄露时，它们可能被用作投资诈骗的目标名单（公司尚未宣布此事已经发生）。
一般可能出现的情况
- 打着FX Navi或相关企业名义的虚假活动或奖励
- 根据年龄段或交易结果量身定制的自动交易工具或信号服务邀约
- 引导至外部群组、催促存入海外账户的X私信
您可以做什么
- 在官方应用或公司官网核实任何通知
- 无论对方声称是谁，都不要当场存款或注册
- 不要使用邮件或私信中写明的联系方式或链接
关于另一起邮箱地址和会员数据泄露的案例，以及如何应对虚假消息，请参见Yakiniku King 应用数据泄露事件。关于识别虚假支持联系人的一般方法，请参见虚假病毒警告和支持诈骗。
面向运营移动应用API的人员
公司仅表示原因是应用API的一项功能；具体是哪项功能以及出了什么问题尚不清楚。本节仅依据已公布的时间线和项目进行说明，不对原因进行猜测，也不断言某项修复本可避免此事。
保留可回溯六个月的记录
根据公司说明，4月的收集是在调查10月另一起未经授权访问事件时发现的，且时间段精确到分钟。保留API访问记录（时间、来源设备或IP地址、返回的记录数）数月或更长时间，有助于在之后发现异常时核实影响范围。作为保留期限的参考，卡行业标准PCI DSS要求审计日志保留12个月。
限制单个客户端可获取的数量，并设置告警
根据公司说明，数据可能从4月27日晚间至4月30日下午被“持续”获取（约2天18小时）。一般而言，按用户、设备和IP地址设置记录数上限，并在达到上限的80%时发出告警，是尽早发现批量收集的第一步。关于测量位置和示例设置，请参见速率限制与滥用控制。
能够一次性使所有已签发的登录凭证失效
公司表示，已使修复前签发的所有登录凭证失效。如果能够一步撤销所有可能已泄露的凭证，那么使用旧凭证的冒充行为便会停止，用户无需采取任何操作。对于您自己的应用，请提前决定如何一次性撤销所有令牌，以及之后用户如何重新登录。
将API返回的内容限制在屏幕所需范围内
可能已被获取的项目包括用户在屏幕上从未看到的数据，例如广告ID、推送通知标识符和账户转移代码。一般而言，返回其他用户数据的API还需防范这样一类问题：修改请求中的ID即可暴露他人数据（IDOR）。公司未表示这是此次事件的原因，但审查API返回了哪些字段以及可能返回谁的数据，是一个不错的起点。
来源（公开记录）
本文所述事实基于以下公开信息。对于尚未披露的原因和收集方法细节，本文不作猜测。
- Green Monster株式会社，《关于我们的应用FX Navi可能发生用户信息泄露的致歉与通知》（2026年10月23日，日文）— greenmonster.co.jp
- Green Monster株式会社，《关于我们的应用FX Navi可能发生用户信息泄露的报告（首次报告）》（2026年10月23日，适时披露，日文）— TDnet（PDF）
更新记录
2026-10-26：首次发布，基于Green Monster于10月23日发布的通知和适时披露（首次报告）。关于原因、受影响用户或防止措施的后续信息发布后，本文将予以更新。
延伸阅读
- 应对虚假邮件：什么是网络钓鱼？
- 应用会员数据泄露：Yakiniku King 应用数据泄露事件 / Seicomart应用数据泄露事件
- 密码：如何检查您的密码是否已泄露
- 影响外汇交易环境的事件：Onamae.com Desktop Cloud未经授权访问事件
- API防护：速率限制与滥用控制 / 什么是IDOR？
- 其他2026年事件：2026年的数据泄露和网络攻击（日本及全球）