ニュース
公開アプリを解析してサーバーを攻撃する「A2B攻撃」、相次ぐ不正アクセスの原因の1つとしてNICTが注意喚起
2026年10月13日 15:17
国立研究開発法人情報通信研究機構（NICT）脅威情報分析チームLETTICEは10月13日、国内で相次ぐ情報漏えい事案の原因の1つとして、公開アプリを解析して得た情報をもとに接続先のサーバーを狙う攻撃を特定し、「A2B攻撃」（App-to-Backend Attack）と名付けるとともに、その手法や対策について解説した。
公開されているAndroidアプリを解析して、アプリが通信するサーバーの接続先やAPIの情報を入手し、それをもとに対象のサーバーを攻撃するのが、A2B攻撃の概要だ。アプリを提供する事業者からすれば、一般には公開していないはずのサーバーの仕様が攻撃者に知られ、弱点をピンポイントで狙った攻撃を受けることになると、特徴が説明されている。
これは、10月8日にJPCERT/CCが情報を公開した3つの攻撃手法のうちのひとつ「API経由での不正な操作」と共通するものだ。NICTではこの攻撃について詳細な解説を公開している。
この攻撃者は、サーバーが持つSSRF（Server-Side Request Forgery：サーバーサイド・リクエストフォージェリ）、RCE（Remote Code Execution：リモートコード実行）、SQL インジェクション、IDOR（Insecure Direct Object Reference：インセキュア・ダイレクト・オブジェクト・リファレンス。安全でない直接オブジェクト参照 ）の4種の脆弱性を主に悪用する。NICTでは、Androidアプリを公開する事業者に推奨する対策として、侵害の確認、脆弱性の点検、そして特定のアクセス元の遮断や不要なAPIの停止といった暫定的な緩和策、の3点を挙げている。
