トップ ＞ 社会

相次ぐ不正アクセス、JPCERT/CCがアプリ解析とAIを使う攻撃手口を公表

内容

相次ぐ漏えい被害と注意喚起

国内では複数の組織で、不正アクセスによる個人情報などの漏えい被害が続けて公表されています。報道では、大手飲食チェーンで1100万件以上の会員情報が漏えいした事例や、通販アプリで最大約81万人分の個人情報が漏えいした恐れがある事例などが伝えられています。

こうした状況を受け、個人情報保護委員会は10月8日に安全対策の強化を呼びかけました。JPCERT/CCも同じ日に注意喚起を出し、消費者庁も注意を促しています。10月13日には情報通信研究機構（NICT）が、公開されているアプリを解析してサーバーを攻撃する手口を、被害が相次ぐ原因の一つとして挙げました。一連の攻撃がいつから始まっていたのか、被害の全体でどれほどの規模になるのかは、現時点で明らかになっていません。

攻撃者の手口

JPCERT/CCは10月15日、ほかの組織と連携して攻撃元とみられるサーバーを調べた結果を公表しました。調査では、攻撃者がAIを使い、既知の脆弱性を探すスキャンやAPIを通じた攻撃をしていたことを確認しています。同じような攻撃元サーバーはインターネット上に複数あり、日本以外の地域向けのWebサービスも狙われていました。

特徴とされるのは、Android向けアプリの配布ファイル（APKファイル）を解析してAPIを特定し、そのAPIを悪用する点です。攻撃元サーバーには、複数のAPKファイルのほか、Flutterで作られたアプリを解析するツールのBlutterや、Androidアプリの解析に使うjadxに関連するファイルが残っていました。サーバー側に不正なリクエストを送らせるSSRFという脆弱性がAPIにないかを調べた痕跡も見つかっています。

JPCERT/CCによると、Flutterのアプリはコンパイルされていても、中に埋め込まれた秘密鍵やAPIの認証の仕組みを読み取られる可能性があります。共通の秘密情報がアプリに組み込まれていると、それを抜き出された結果、正規のアプリを通さずにAPIへリクエストを送られる恐れがあるといいます。

今回の攻撃とは直接関係しない別のサーバーでは、データベースや開発用サーバー、メールゲートウェイなどを狙う攻撃ツールに加え、セキュリティ製品による検知を逃れようとした跡や、侵入先に設置したとみられる不正なプログラムも見つかりました。攻撃者がネットワークの内部まで入り込もうとしていたとみられています。

被害の内容と今後の対応

報道されている被害は、主に会員情報などの個人情報の漏えいです。各事例で具体的にどの項目が流出したのか、どの機能が悪用されたのかの詳細は、今回の調査結果では示されていません。

JPCERT/CCは、アプリに秘密情報を埋め込むことの危険性を踏まえた対策をとるよう呼びかけています。そのうえで、攻撃元のIPアドレスや手口に関する情報の提供を求めています。また、標的になっている可能性がある組織を見つけた場合は直接連絡しており、連絡を受けた組織には対応を求めています。

注目ポイント

注目されているのは、多くの人が日常的に使うスマートフォンアプリが攻撃の入り口になっている点です。公開されているアプリそのものが解析の対象になるため、アプリを提供するさまざまな事業者に関わる問題として受け止められています。AIによって攻撃が効率化されていることが分かり、今後さらに被害が広がるのかどうかも焦点です。

ネットでの反応

ネット上では、アプリの解析からAPIの特定、脆弱性の探索までが自動化されつつあることに危機感を示す声が目立ちます。解析ツールが手軽に入手できるようになっており、同じような攻撃がさらに増えるのではないかと心配する投稿も見られます。一方で、報道がAIの関与を強調していることに違和感を示す声もあります。認証の仕組みや通信の規格そのものを見直すべきだという意見や、調査結果を公表したJPCERT/CCの対応を評価する声も上がっています。

参考記事

• 連続不正アクセス事案の攻撃手法に関する調査　2026年10月15日 17:02

ランキング登場履歴

この記事の内容に誤りを見つけた方は 情報の誤りを報告 からお知らせください。