適用對象：Green Monster Inc. 經營的日本 FX 模擬交易應用程式 FX Navi（FXなび）使用者，以及負責行動應用程式 API 的人員。本文以該公司的官方公告為依據，不涉及攻擊或詐騙手法。
事件仍在發展中：本文將隨組織發布更多資訊而更新
截至 2026 年 10 月 26 日尚不明確
- 資料是否確實遭取得（目前為「可能已遭取得」）
- 受影響人數（619 萬為紀錄筆數）
- 導致事件的 API 功能為何
- 登入憑證與移轉代碼由哪些內容組成，以及移轉代碼如何處理
- 是否會個別通知受影響的使用者
- 具體的防止再發生措施
公司在 10 月 23 日的公告中表示，將在整理調查結果後公布具體的防止再發生措施。其東京證券交易所的申報文件表示，對損益的影響正在評估中，如有需要揭露的事項將盡速揭露。本站於 10 月 26 日查看公司的新聞列表時，尚未發布後續資訊。
FX Navi 使用者今天應該做什麼
不要開啟自稱來自公司之電子郵件中的網址或附件
公司警告，可能會收到冒用本公司或相關公司名義的可疑電子郵件，並請使用者不要開啟意外收到之電子郵件中的網址或附件。電子郵件地址也在可能遭取得的項目中，共 66,003 筆紀錄。
即使主旨看起來像是 FX Navi 使用者會關心的內容，例如帳號檢查、道歉或活動獎品，也不要點擊其中的連結（參見什麼是釣魚？）。
不要回應使用 FX Navi 名稱的 X 私訊
X（前 Twitter）ID 也在可能遭取得的項目中，共 6,434 筆紀錄。請忽略看起來像來自 FX Navi 帳號的私訊，以及「僅限使用者」群組的邀請。
如要確認某則訊息是否為真，請自行開啟官方應用程式，或查看 FX Navi 官方帳號的貼文，不要點擊訊息中的連結。
即使使用 FX Navi 名稱，也請忽略投資邀約
公司表示，絕不會透過電子郵件或訊息索取密碼、銀行帳戶資料或信用卡資料，而且不會招攬投資。
如果訊息使用 FX Navi 名稱，並推銷自動交易工具、提供交易訊號，或催促您開設海外交易帳戶或將款項存入指定帳戶，那都是假的。即使沒有使用該名稱，對於知道您的交易結果或年齡層的邀約，也應保持懷疑。
使用從官方商店安裝的應用程式
公司表示，已使修正前發出的所有登入憑證失效。公告沒有說明使用者是否需要重新登入，也沒有說明使用者還需要做什麼。
如果電子郵件表示您需要重新登入，請不要重新安裝應用程式，也不要透過郵件中的連結登入。請開啟您從 App Store 或 Google Play 安裝的官方應用程式，在其中進行確認。
不清楚的事項請聯絡公告中列出的窗口
對於公告未回答的問題，例如帳號移轉代碼（5,120 筆紀錄）如何處理，或您的資料是否包含在內，請聯絡公司（電子郵件：fxnavi-202610@greenmonster.co.jp）。
請使用公司網站上公告中的地址，不要使用您收到的電子郵件中的地址。
知道您的結果或年齡層的訊息不一定是真的
可能遭取得的項目包括年齡層、性別、職業類別、首次啟動問卷回答，以及交易結果等使用資料。「我們已檢視您的交易結果」之類提到只有使用者才知道之事項的訊息，並不能證明它來自公司。如有疑慮，請在官方應用程式或公司網站的公告中查證。
發生了什麼（根據 Green Monster 的公告）
2026 年 10 月 23 日，Green Monster Inc. 在其網站發布公告，並在東京證券交易所進行即時揭露，說明其應用程式 FX Navi 的使用者資訊可能外洩（該申報文件標示為第一報）。以下內容皆來自公司的公告。
2026 年 4 月 27 日（週一）約 20:26 至 4 月 30 日（週四）約 14:26
外部人士可能持續取得 FX Navi 使用者資訊的期間（於 10 月的調查中發現）。週六，10 月 17 日
公司發現外部人士未經授權存取該應用程式，隨即展開調查。尚未確認此次存取造成使用者資訊外洩。調查期間
發現 4 月的蒐集可能來自一名使用與 10 月存取不同 IP 位址的外部人士。原因確認為應用程式 API 的某項功能。截至週五，10 月 23 日
API 功能與登入憑證已修正，修正前發出的所有登入憑證已失效（未提供確切日期）。週五，10 月 23 日
於公司網站公告及即時揭露中發布（第一報）。
- 範圍
- FX 模擬交易應用程式 FX Navi 的使用者資訊。約 619 萬筆紀錄（包括非個人資訊的資料）
- 使用者資訊
- 電子郵件地址（66,003 筆）、暱稱、性別（142,578 筆）、年齡層（139,293 筆）、職業類別（149,137 筆）、X（前 Twitter）ID（6,434 筆）、自我介紹文字、圖示影像 URL
- 問卷資訊
- 首次啟動問卷回答（4,809,631 筆）
- 應用程式使用資訊
- 裝置 ID、登入憑證、帳號移轉代碼（5,120 筆）、推播通知識別碼、廣告 ID、來源 IP 位址、使用資料（例如交易結果）
- 無法登錄
- 姓名、地址、電話號碼、出生日期、信用卡資料、銀行帳戶資料、My Number
- 原因
- 已確認為應用程式 API 的某項功能。尚未公布更多細節
- 因應
- 已修正 API 功能與登入憑證，並使修正前發出的所有登入憑證失效。正在外部專家的建議下調查
- 損害
- 截至 10 月 23 日，尚未確認資料遭公開、冒用或其他二次損害
- 其他服務
- 公司的其他服務 Kabutasu（株たす）與 Toushika（トウシカ）也在調查中。尚未確認這些服務的使用者資訊遭取得
- 聯絡方式
- 電子郵件：fxnavi-202610@greenmonster.co.jp
聯絡資料
電子郵件地址、X ID
個人檔案
年齡層、性別、職業、問卷回答
應用程式使用
交易結果等使用資料、暱稱
↓ 一般可能發生的情況
針對對投資有興趣之人的逼真邀約與假通知
偽裝成電子郵件、X 私訊或群組邀請
↓ 不要照做
在官方應用程式或公司網站公告中查證
已知與未知的事項
以下根據公司截至 2026 年 10 月 26 日的公告（10 月 23 日的通知與東京證券交易所申報文件）。待後續資訊發布時，狀態欄將會更新。
| 項目 | 公告內容 | 狀態 |
|---|---|---|
| 電子郵件地址、X ID | 分別為 66,003 筆與 6,434 筆紀錄 | 可能（公司） |
| 暱稱、性別、年齡層、職業、自我介紹、圖示影像 URL | 性別、年齡層與職業有提供筆數 | 可能（公司） |
| 首次啟動問卷回答 | 4,809,631 筆紀錄 | 可能（公司） |
| 登入憑證 | 修正前發出的所有憑證已失效。內容未說明 | 可能（公司） |
| 帳號移轉代碼 | 5,120 筆紀錄。是否已失效未說明 | 可能（公司） |
| 裝置 ID、推播通知識別碼、廣告 ID、IP 位址、使用資料 | 未提供筆數 | 可能（公司） |
| 姓名、地址、電話、出生日期、信用卡、銀行、My Number | 不是使用者可在應用程式中登錄的項目 | 不包含（公司） |
| 紀錄筆數 | 約 619 萬筆（包括非個人資料）。人數未說明 | 公司公告 |
| 可能蒐集的期間 | 4 月 27 日約 20:26 至 4 月 30 日約 14:26 | 公司公告 |
| 10 月 17 日的未經授權存取 | 未確認此次存取造成外洩 | 未確認（公司） |
| 原因 | 應用程式 API 的某項功能。無細節 | 調查中 |
| 二次損害 | 截至 10 月 23 日，未確認資料遭公開或冒用 | 未確認（公司） |
| 對 Kabutasu 與 Toushika 的影響 | 未確認蒐集。調查中 | 未確認（公司） |
| 個別通知受影響的使用者 | 公告未提及 | 未說明 |
| 向日本個人資訊保護委員會通報 | 公告未提及 | 未說明 |
為何本文不說是 619 萬人
公司公告中的標題寫的是「涵蓋的使用者人數」，但內文提供的數字是約 619 萬筆使用者資訊紀錄，並未說明涵蓋多少人。最大的項目是首次啟動問卷回答（4,809,631 筆）；電子郵件地址為 66,003 筆。公司表示，這個數字包括非個人資訊的資料。本文不會把紀錄換算為人數，而是依公告所列出的各項目筆數呈現。
電子郵件地址、X ID 與投資者檔案一起外洩可能造成什麼
一般而言，聯絡資料若與某人對投資有興趣的事實一併外洩，就可能被用來作為投資詐騙的目標名單（本案公司尚未宣布已發生此種情況）。
一般可能發生的情況
- 假活動或假獎勵，冒用 FX Navi 或相關公司的名義
- 依年齡層或交易結果量身打造的自動交易工具或訊號服務邀約
- 導向外部群組的 X 私訊，並催促存入海外帳戶
您可以做的事
- 在官方應用程式或公司網站上查證任何通知
- 不論寄件人自稱是誰，都不要當場匯款或註冊
- 不要使用電子郵件或私訊中寫出的聯絡方式或連結
關於另一起電子郵件地址與會員資料外洩的案例，以及如何防範假訊息，請參見燒肉王應用程式資料外洩事件。關於辨識假技術支援聯絡的一般方法，請參見假病毒警告與技術支援詐騙。
給負責行動應用程式 API 的人員
公司只說明原因是應用程式 API 的某項功能；是哪一項功能、出了什麼問題，目前都不清楚。本節只依據已公布的時間軸與項目進行說明，不推測原因，也不主張某項修正就能避免此事件。
保存可回溯六個月的紀錄
根據公司說明，4 月的蒐集是在調查 10 月另一起未經授權存取時發現的，而且期間精確到分鐘。保存 API 存取紀錄（包括時間、來源裝置或 IP 位址，以及回傳的筆數）數個月或更長時間，有助於在之後察覺異常時確認影響範圍。作為保存期限的參考，卡片產業標準 PCI DSS 要求稽核紀錄保存 12 個月。
限制單一用戶端可取得的量，並對異常發出警示
根據公司說明，資料可能從 4 月 27 日晚間到 4 月 30 日下午「持續」遭取得（約 2 天 18 小時）。一般而言，對每位使用者、每個裝置與每個 IP 位址設定筆數上限，並在達到上限的 80% 時發出警示，是及早發現大量蒐集的第一步。關於在何處衡量以及範例設定，請參見速率限制與濫用控制。
能夠一次使所有已發出的登入憑證失效
公司表示，已使修正前發出的所有登入憑證失效。如果能在一個步驟中撤銷所有可能外洩的憑證，使用舊憑證的冒用就會停止，使用者也不必採取任何行動。對於您自己的應用程式，應事先決定如何一次撤銷所有權杖，以及之後使用者將如何重新登入。
將 API 回傳的內容限制在畫面所需的範圍
可能遭取得的項目包括使用者從未在畫面上看到的資料，例如廣告 ID、推播通知識別碼與帳號移轉代碼。一般而言，會回傳其他使用者資料的 API，也需要防範「更改請求中的 ID 即可看到他人資料」的問題（IDOR）。公司並未表示這是本案的原因，但檢視 API 回傳哪些欄位，以及可能回傳誰的資料，是一個良好的起點。
資料來源（公開紀錄）
本文的事實依據以下公開資訊。尚未揭露的原因與蒐集方式細節，本文不作推測。
- Green Monster Inc.，〈關於本公司應用程式 FX Navi 使用者資訊可能外洩之致歉與通知〉（2026 年 10 月 23 日，日文）— greenmonster.co.jp
- Green Monster Inc.，〈關於本公司應用程式 FX Navi 使用者資訊可能外洩之報告（第一報）〉（2026 年 10 月 23 日，即時揭露，日文）— TDnet（PDF）
更新紀錄
2026-10-26：首版，依據 Green Monster 2026 年 10 月 23 日的公告與即時揭露（第一報）撰寫。將於發布有關原因、受影響使用者或防止措施的後續資訊時更新。
延伸閱讀
- 防範假電子郵件：什麼是釣魚？
- 應用程式會員資料外洩：燒肉王應用程式資料外洩事件 / Seicomart 應用程式資料外洩事件
- 密碼：如何查詢密碼是否外洩
- 影響外匯交易環境的事件：Onamae.com Desktop Cloud 未經授權存取事件
- 保護 API：速率限制與濫用控制 / 什麼是 IDOR？
- 其他 2026 年事件：2026 年的資料外洩與網路攻擊（日本與全球）