相次ぐ個人情報漏えいの一因「A2B攻撃」 正体は20年前から言われ続けた“あの教訓”だった：半径300メートルのIT

国内で相次ぐ情報漏えいの原因の一つとして、NICTが特定した「A2B攻撃」。中身をよく見ると、筆者が20年前に担当した連載で語られていた教訓そのものでした。新しい名前で紹介される“新手口”に目を奪われる前に、本当に見直すべき場所はどこなのかを考えます。

[宮田健，ITmedia]

　かつて私が担当していた、アイティメディアが運営する開発者向けメディア「＠IT」の「星野君のWebアプリほのぼの改造計画」という人気連載がありました。すてきなイラストとともに、Webアプリにおけるセキュリティの落とし穴を紹介するというもので、私自身もこの連載で勉強させていただきました。

　特に好きなエピソードは、ゲームを作ったらハイスコアを書き換えられる、今で言う“チート”をされてしまったというもの。もう20年も前の記事で、Flash製ゲームを題材にしていますが、まさかこれが令和によみがえるとは思いもしなかったわけで……。

• Flashで作ったゲームも攻撃対象になるんです！：星野君のWebアプリほのぼの改造計画（5）（1/3ページ） - ＠IT

新たに名付けられた「A2B攻撃」

　情報通信研究機構（NICT）の脅威情報分析チームLETTICEは、国内で相次ぐ情報漏えい事案の原因の一つとして、一般に公開されているAndroidアプリを解析し、その情報を悪用してアプリの接続先であるバックエンドサーバを攻撃する手法を特定したと発表しました。LETTICEはこれを、App-to-Backend Attack、「A2B攻撃」と名付け、多方面に向け注意喚起しています。

　この攻撃を簡単に紹介すると、広く公開されているAndroidアプリを入手し、その内容をリバースエンジニアリングなどで解析。それにより、そのアプリがサーバとどうやって通信しているかを特定します。そして、その通信を不正に生成し、サーバを攻撃するというもの。つまり、サービス提供者の「アプリ以外はアクセスしてこないだろう」という思い込みを悪用した攻撃です。

A2B攻撃の流れ（出典：【注意喚起】相次ぐ情報漏洩、その原因の一つは 「アプリ解析からのサーバ攻撃」NICT）

　今回、これにA2B攻撃という名前が付けられました。しかしこれはまさに冒頭に紹介した、20年前に連載で取り上げた手法そのものなのです。Androidアプリでなくても、手元のデバイスとサーバとで通信をして何らかの処理を受け取る仕組みを作ったとき、本来であれば「利用者のデバイスを信用してはならない」と徹底する必要があります。

　デバイスが改ざんされることを想定し、デバイスから届く通信データはそのまま信頼せず、サーバ側でそれを正しく認証し、検証する必要があります。例えば、ゲームでアプリからサーバに得点データを送るときに、その得点が書き換わっていないかということを考えなくてはなりません。

　加えて、A2B攻撃が成立する大きな要因は、「API」と呼ばれるサーバの受け口が、秘密であると信じてしまっている点にあります。一般に知らせていないから攻撃は来ない、だから安全ということはありません。これは、APIについても、届くリクエストを都度正しく認証しなければならないことを示しています。境界防御が破綻したことで注目されている「ゼロトラストアーキテクチャ」に似た考え方を取り入れる必要があります。

　これまでであれば、多くの攻撃者はターゲットを絞らず、攻撃コードやマルウェアをばらまくことで、数打ちゃ当たるという戦法を使っていました。しかしこのA2B攻撃を紹介する文書では、「不特定多数のサーバに同一の攻撃を試みるのでなく、公開アプリの解析によって得られた情報を利用し、対象となるバックエンドサーバごとに攻撃内容を変化」させていると述べています。この背景には、AIを使った“自動化”による効率アップがあるでしょう。これまでならば見過ごされてきた、おそらくは十数年間開いたままの穴を突かれ始めているという印象です。それも、AIによるマシンスピードで、です。

A2B攻撃の対策だけじゃない

　2026年9月前後から頻発している不正アクセス、情報漏えいの原因の“一つ”として、日本の組織からこのような注意喚起が行われるのは非常に喜ばしいことだと思います。しかし、この注意喚起にはよく読んでほしいポイントがあります。A2B攻撃のようなものを特定したとしつつも、あくまでこれは“原因の一つ”でしかないことも強調しているように思えます。先に公開されていたJPCERTコーディネーションセンター（JPCERT/CC）の「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」においても、「ケースB：API経由での不正な操作」として今回の手法が使われている痕跡について触れています。

• 直近で相次いでいる国内組織における不正アクセスに関する注意喚起（JPCERT/CC）
• お知らせ - 国家サイバー統括室

　これらを踏まえ、セキュリティベンダーのラックは、今取るべき対策をまとめた文書を公開しています。こちらが非常によくまとまっており、先のA2B攻撃を含めた内容を紹介しつつ「現在の状況を『特定の製品や脆弱（ぜいじゃく）性』または『特定の業種』を狙った問題として捉えるだけでは十分ではない」と述べています。

ラックが公開した「国内で相次ぐWebシステムからの情報漏えい〜ラックの観測から見える変化と、企業が今とるべき対策」（出典：ラック）

　今回、A2B攻撃という名前が付いたことで、多くの方が注目をしていると思います。しかし、それはあくまで1つの手法でしかありません。数千を超える脆弱性報告からいかに自社にとってクリティカルなものを優先して対処するかという「新しい考え方による脆弱性対応」や、基本のキである「バックアップ」と「確実なリストアができる手順書の整備」、そして過剰な権限や退職者のID管理などを含む「認証情報管理の強化」など、見なければならない場所がさらに増えたというのが、今回の一連の発表に対しての捉え方ではないかと思います。

　そのためには、まず自社組織内に、インターネットにつながる資産がどこに、どの程度あるのか、そこにアクセスできるのは誰か、いったい何が保存されているのかといった、地道な棚卸しこそが重要です。今回のA2B攻撃も新しいものではなく、インターネットに接続された部分が管理対象として見えていなかった（見たくなかった）だけであるともいえるでしょう。インシデントの多発も、生成AIの発展が直接の原因というより、本来対応すべきポイントが漏れていた結果だと考えられます。

　……とはいえ、それができれば苦労はしません。理想論ではなく今できることを考えるとしたならば、スマートフォンアプリ、Webアプリを提供している場合はそのアクセス内容、秘密情報、APIキーの棚卸しに優先的に取り組むことをお勧めします。

　おそらく多くの組織のセキュリティ担当者は、かつてない大忙しの状況であるとは思います。事件が多発することで経営層も理解を示し、より動きやすい環境を作れるチャンスかもしれません。そういったプラス面が少しでも広がることを期待しています。

著者紹介：宮田健（みやた・たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門　「木曜日のフルット」と学ぼう！〈漫画キャラで学ぶ大人のビジネス教養シリーズ〉』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる。