トップ ＞ テクノロジー

公開アプリを解析しサーバーを狙う「A2B攻撃」、NICTが注意喚起

内容

NICTが新たな手口に名前を付けて公表

情報通信研究機構（NICT）の脅威情報分析チーム「LETTICE（レティス）」は10月13日、国内で続いている情報漏えい事案の原因の一つとして、公開済みのAndroidアプリを足がかりにサーバーを狙う攻撃を確認したと発表しました。この手口は「A2B攻撃（App-to-Backend Attack）」と名付けられています。

どのように情報が盗まれるのか

攻撃者は、誰でも入手できるAndroidアプリを解析して、アプリがどのサーバーとやり取りしているか、どのAPIを使っているかを調べます。そのうえで、調べた内容をもとに、それぞれのサーバーに合わせた攻撃を仕掛けるとされています。

狙われるのは、アプリの裏側で動いている「バックエンドサーバー」です。アプリそのものに弱点がなくても、サーバー側でログインの確認や利用権限のチェック、送られてきたデータの確かめ方が不十分だと、不正アクセスや個人情報の流出につながる恐れがあるといいます。

対象はAndroidアプリに限らない

NICTによると、同じような問題はiOSアプリやWebサービスでも起こり得るため、それらを提供する事業者にも注意を促しています。また、AIを使うことでアプリの解析や弱点探しが効率よく行えるようになり、攻撃がより多くのシステムに広がる可能性もあると指摘しています。

事業者に求められている対策

LETTICEは、アプリを提供する事業者に向けて次の3点を勧めています。

• 自社が公開しているAPIやサーバーを一覧にし、アクセスの記録を見て不審な接続や情報の持ち出しがないか確かめること
• 本来見られないはずの他人のデータに届いてしまう権限設定の誤り（IDOR／BOLA）をはじめ、SSRFやRCE、SQLインジェクションなどの弱点や設定ミスを重点的に調べること
• 使っていないAPIを止める、接続できる範囲を絞る、監視を強める、認証情報を無効にして発行し直すなど、当面の対応をとること

あわせて、今回の攻撃に関係するIPアドレス3件も公開しました。ただし、これらと一致したことだけで被害の有無は判断できないため、アクセス記録や通信の中身と照らし合わせて確認する必要があるとしています。

相次ぐ漏えいはすべてこの攻撃が原因なのか

NICTはA2B攻撃を、相次ぐ情報漏えいの「原因の一つ」と位置づけており、すべての事案がこの手口によるものとはしていません。具体的にどの企業や事案が該当するのかは、現時点で明らかになっていません。

利用者はどうすればよいのか

今回の注意喚起は、アプリを提供する事業者に向けたものです。利用者が注意すべきアプリの種類や、個人でとれる対策については、現時点で明らかになっていません。

注目ポイント

アプリ自体に問題がなくても、裏側のサーバーの作りが甘ければ情報が漏れるという点が、多くの人の関心を集めています。日常的に使うスマートフォンアプリの多くがサーバーとつながっているため、身近な問題として受け止められています。AIによって解析が容易になり、被害が広がる恐れがあるとの指摘も今後の焦点になりそうです。

ネットでの反応

ネット上では、仕組みとしては以前から知られていた問題であり、名前が付いたことで対策を進めやすくなるという受け止めが見られます。「仕様を公開していないから安全」という考えは通用せず、解析されることを前提にサーバー側を守るべきだという声もあります。

一方で、NICTはiOSアプリやWebサービスも対象になり得るとしているのに、見出しで「Android」が強調されているため誤解されやすいのではないか、という指摘もあります。ほかにも、専用アプリの利用を勧める流れが広がった中でこうした弱点が見えてきたことに触れる意見や、Webサービス中心の作りとの比較を話題にする投稿も見られます。

参考記事

• 相次ぐ情報漏えいの一因は「Androidアプリ」 NICTが「A2B攻撃」対策を公表(Impress Watch)Yahoo!ニュース　2026年10月13日 18:30
• 相次ぐ情報漏えいの一因に「A2B攻撃」 公開アプリを解析し裏側のサーバを狙う手口、NICTが公表ITmedia　2026年10月13日 20:28

ランキング登場履歴

この記事の内容に誤りを見つけた方は 情報の誤りを報告 からお知らせください。