相次ぐ情報漏えいの一因に「A2B攻撃」　公開アプリを解析し裏側のサーバを狙う手口、NICTが公表

公開 2026年10月13日 20時28分

[ITmedia]

印刷する Googleで優先するソースとして追加

　国内で相次ぐ情報漏えい事案の原因の一つとして、公開済みのAndroidアプリを解析し、接続先のサーバを狙う攻撃を確認した――情報通信研究機構（NICT）の脅威情報分析チーム「LETTICE」（レティス）は10月13日、「A2B攻撃」（App-to-Backend Attack）と名付けた手法を公表し、アプリ提供事業者へ注意を呼びかけた。アプリ自体に脆弱性がなくても、サーバ側の不備によって不正アクセスや個人情報の漏えいにつながる恐れがあるという。

　A2B攻撃では、一般公開されているAndroidアプリを攻撃者が解析し、アプリが通信するサーバの接続先や、アプリが利用しているAPIなどを調査する。得られた情報をもとに、個々のサーバに合わせた攻撃を実行するという。

A2B攻撃の流れ（LETTICE）

　攻撃対象となるのは、アプリの裏側で動作する「バックエンドサーバ」。アプリ自体に脆弱性がなくても、サーバ側の認証やアクセス権限の確認、入力内容の検証などに不備があれば、不正アクセスや個人情報の漏えいにつながる恐れがある。

　同様の問題はAndroidアプリに限らず、iOSアプリやWebサービスでも発生する恐れがあり、NICTはこれらを提供する事業者にも注意を呼びかけている。また、AIの活用によってアプリの解析や脆弱性の発見が効率化され、攻撃がより多くのシステムに広がる可能性も指摘した。

　LETTICEは、アプリを提供する事業者に対し、（1）公開しているAPIやサーバを洗い出し、アクセスログなどから不審なアクセスや情報の不正取得がないか確認すること、（2）APIのアクセス権限の不備（IDOR／BOLA）や、SSRF、RCE、SQLインジェクションなどの脆弱性・設定不備を重点的に点検すること、（3）不要なAPIの停止やアクセス制限、監視の強化、認証情報の無効化・再発行などの暫定的な対策を実施すること――の3つを推奨している。