セキュリティおよび脆弱性開示ポリシー

発効日： 確認待ち
最終更新日： 12 September 2026

GTO Fisherにとってセキュリティは重要です。本ポリシーでは、アカウント、個人データおよびサービスの可用性へのリスクを抑えながら、ユーザーやセキュリティ研究者が脆弱性の疑いやインシデントを報告する方法を説明します。

1. 報告方法

件名を 「Security Report」 として、support@gtofisher.com までメールでご連絡ください。通常のメールではエクスプロイト、認証情報、または個人データが露出するおそれがある場合は、まず安全な転送方法を希望する旨を簡潔にお知らせください。

アカウントの不正利用について報告する場合は、アカウントのメールアドレス、おおよその発生時刻、影響を受けたデバイスまたはセッション、および確認した内容を記載してください。パスワード、認証コード、または決済カード番号の全桁をメールで送信しないでください。

脆弱性を報告する際は、可能な範囲で以下を記載してください。

• 影響を受けるホスト名、ページ、機能、エンドポイント、およびバージョンまたは環境
• 脆弱性の種類と潜在的な影響
• 明確で最小限の再現手順
• テストした日時、任意で提供する場合はテストに使用したIPアドレス、および関連するリクエスト識別子
• 個人情報などを除去したスクリーンショット、ログ、または概念実証
• データへのアクセス、変更、または露出の有無
• 希望する氏名と連絡先、または匿名を希望する旨

明確な報告を1件いただく方が、自動送信を繰り返すよりも役立ちます。

2. 現在の対象範囲

本ポリシーは、gtofisher.com およびそのサブドメイン上にある当社の管理下のシステムを対象とします。第三者のチェックアウト、メールプラットフォーム、コンテンツ配信ネットワーク、その他のプロバイダーには、独自の開示プログラムがある場合があります。該当する場合は、プロバイダー固有の問題もそのプロバイダーに報告してください。

プライベートベータ環境およびテスト環境には実験的な機能が含まれる場合がありますが、許可なくアクセスしてよいことを意味するものではありません。ホスト名が特定できるという理由だけで、認証ページやアクセス制御ページを迂回してはなりません。

3. 善意に基づく、影響を最小限に抑えた調査

当社は、合法であり、問題の確認に必要で、被害を最小限に抑えるよう設計された調査に基づく報告を歓迎します。合理的な例は以下のとおりです。

• 公開レスポンスおよびクライアント側のコードを調査する
• 自身が所有する、または使用を明示的に許可されたアカウントとデータのみをテストする
• 少数の手動リクエストを使用して、アクセス制御、検証、または設定の問題を確認する
• 合成データ、マスキングしたデータ、または必要最小限のデータで影響を示す

予期せず他人のデータ、秘密情報、管理者アクセス、本番データを変更する機能、または可用性へのリスクに遭遇した場合は、テストを中止し、直ちに報告してください。アクセス可能なデータの「量」を調べるために、テストを続けてはなりません。

本ポリシーは、法律で求められる同意に代わるものではなく、当社システムへのアクセスを包括的に許可するものでもありません。当社は第三者のシステムに対するテストを許可できず、他者による措置を受けないことも保証できません。

4. 禁止される行為

以下の行為は禁止されています。

• 他のユーザーのデータにアクセス、複製、ダウンロード、変更、削除、または開示すること
• 明示的かつ合法的な権限なく、他人のアカウント、認証情報、またはセッションを使ってテストすること
• サービス拒否、分散型サービス拒否、リソース枯渇、過剰なリクエスト送信、または負荷テストを行うこと
• 大量の自動スキャン、スクレイピング、認証情報の詰め込み、パスワードスプレー、または総当たり攻撃を行うこと
• マルウェア、ランサムウェア、永続的なエージェント、バックドア、ウェブシェル、または破壊的なペイロードを展開すること
• ユーザー、スタッフ、またはプロバイダーに対して、ソーシャルエンジニアリング、フィッシング、なりすまし、スパム、または嫌がらせを行うこと
• オフィス、職員、またはデバイスへの物理的な侵入、監視、またはテストを行うこと
• 自分宛てではない通信またはネットワークトラフィックを傍受すること
• 決済を迂回する、不正な取引を作成する、盗難カードをテストする、またはチャージバックを発生させること
• ログ、スコア、サブスクリプション、利用権、または本番記録を改ざんまたは破壊すること
• 問題の存在を示すために必要な最小限の範囲を超えて問題を悪用すること
• 報告後も機密データを保持する、または安全でない経路で転送すること
• 金銭その他の利益を要求するために、情報開示、サービス停止、またはデータ公開を脅迫すること
• 法律、利用規定およびフェアプレイポリシー、または第三者の規約に違反すること

脆弱性を利用して、利用権のないポーカー戦略コンテンツ、ソルバーデータ、モデル情報、または有料アクセスを取得してはなりません。通常、コンテンツへのアクセスに関する問題は、マスキングしたタイトル、ステータスコード、または最小限のサンプルで示すことができます。

5. 誤ってデータにアクセスした場合の対応

個人情報、機密情報、または秘密情報に誤ってアクセスした場合は、次の手順に従ってください。

1. 直ちに中止する
2. その情報を複製、検索、列挙、ダウンロード、または共有しない
3. 問題を特定するために必要な最小限の情報のみを記録する
4. 速やかに当社へ通知し、安全な転送方法を問い合わせる
5. 法律上保存が必要な場合を除き、当社から不要になったとの確認を受けた後、保持している複製を安全に削除する

報告では、データを再現せずに、データの種類とおおよその量を説明してください。当社または管轄当局から依頼されない限り、影響を受けたユーザーに直接連絡しないでください。

6. 当社の対応手順

当社は以下を目指します。

• 信頼できる報告を5営業日以内に受領確認する
• 重要度を評価し、必要な追加情報を求める
• 緊急の問題に適切な措置を講じる
• リスクに応じて調査、修正、および修正内容の検証を行う
• セキュリティ上および法律上の制約に従い、問題の解決または対応終了を報告者に伝える

これらは目標であり、サービスレベルの保証ではありません。問題が複雑な場合、プロバイダーへの依存がある場合、重複報告があった場合、法的確認が必要な場合、または情報が不完全な場合は、さらに時間がかかることがあります。重複する報告は統合することがあり、通常、問題を再現するのに十分な情報を最初に提供した報告者を認定します。

プライバシーポリシーに記載のとおり、個人データ侵害の疑いを調査し、適用法で義務付けられる場合は、規制当局または影響を受けた個人に通知します。

7. 善意の報告と法的対応方針

善意に基づいて本ポリシーの範囲内で行動し、被害を避け、問題を速やかに報告した場合、当社は本ポリシーに準拠した調査のみを理由として法的措置を開始する意図はありません。第三者が措置を開始し、当社が報告者は実質的に本ポリシーを遵守していたと判断した場合、合法かつ適切であれば、その事実を確認することがあります。

この記述は、当社の現時点の執行方針を説明するものであり、契約、免責、法定のセーフハーバー、権利放棄、法律違反の許可、または政府や第三者を拘束する約束ではありません。恐喝、データ窃取、プライバシー侵害、サービス妨害、アクセスの継続、不正行為、違法と知りながら行う行為、または本ポリシーの範囲外の行為には適用されません。

予定しているテストが許可されるか不明な場合は、実施前に問い合わせてください。

8. 機密保持と調整された開示

公開する前に、調査とリスク軽減のための合理的な機会を当社に与えてください。エクスプロイトの詳細、個人データ、認証情報、または進行中の悪用を著しく容易にする情報を公開しないでください。

当社は、善意の報告者と開示日および正確な説明を調整するよう努めます。ユーザーにリスクが残っている場合や、プロバイダーによる修正が保留中の場合は、延期を求めることがあります。無期限の沈黙を求めることはできませんが、本ポリシーは、保護対象の個人データ、営業秘密、または違法な情報を開示する権利を付与するものではありません。

書面で合意していない限り、当社の名称、ロゴ、または連絡内容を使用して、当社が報告や声明を支持したと示唆してはなりません。

9. 表彰と報奨

当社は現在、有償のバグ報奨金プログラムを運営しておらず、報酬、贈り物、公的な謝辞、または雇用を約束しません。報奨が提供されることを前提にテストしないでください。

報告を表彰する場合、その形式および対象となる条件はすべて当社の裁量で決定し、別途合意します。法律で開示が義務付けられる場合を除き、本人の許可なく報告者の身元を公表しません。

10. エンドユーザーのアカウント保護

アカウントへの不正アクセスが疑われる場合は、以下の対応を行ってください。

• 信頼できるデバイスを使ってパスワードを変更する
• 該当する設定が利用可能な場合は、見覚えのないセッションを失効させる
• 関連付けられたメールアカウントを保護する
• 古いパスワードを他の場所で再利用しない
• 件名を 「Account Security」 として、速やかに当社へ連絡する

当社がメールでパスワードや認証コードを尋ねることはありません。決済カードに関する問題は、明細書に記載されたカード発行会社または決済プロバイダーにも報告してください。

11. 本ポリシーの変更

サービスの変更に伴い、対象範囲、連絡先、またはテスト規則を更新することがあります。新たな調査を始める前に、最新版をご確認ください。変更によって、実施時点で違法または有害だった行為が許可されることはありません。

12. お問い合わせ

メール：support@gtofisher.com
推奨する件名：Security Report または Account Security

ASTRA LOGIC TECHNOLOGY PTE. LTD.
36 Robinson Road, #21-01, City House
Singapore 068877