libraryライブラリー

2026-10-13レポート

【注意喚起】相次ぐ情報漏洩、その原因の一つは「アプリ解析からのサーバ攻撃」
― AIで高度化する脆弱性探索、Androidアプリを手がかりにしたA2B攻撃に注意 ―

脅威情報分析チームLETTICEは、一般に公開されているAndroidアプリを解析し、その結果を利用して、アプリの裏側で動作するバックエンドサーバを攻撃する手法「A2B攻撃（App-to-Backend Attack）」を確認しました。

A2B攻撃では、攻撃者が公開アプリからAPI（アプリとサーバの間で情報をやり取りする仕組み）の接続先や仕様などを調べ、対象となるサーバに合わせた攻撃を実行します。アプリ自体に脆弱性がなくても、バックエンドサーバの認証・認可や入力値の検証などに不備があれば、不正アクセスや個人情報の漏洩につながるおそれがあります。また、AIの活用によってアプリ解析や脆弱性探索が効率化され、こうした攻撃がより多くのシステムに及ぶ可能性にも注意が必要です。

■Androidアプリを公開する事業者へのお願い

侵害の確認：公開APIやサーバを洗い出し、アクセスログなどから不審なアクセスや情報の不正取得がないか確認してください。
脆弱性の点検： APIの認可不備（IDOR/BOLA）、SSRF、RCE、SQLインジェクションなどの脆弱性や設定不備を重点的に点検してください。
暫定的な緩和策：不要なAPIの停止、アクセス制限、監視の強化、認証情報の無効化・再発行など、必要な対策を実施してください。

公開アプリが解析されることを前提に、バックエンドサーバの安全性を確保することが重要です。

■詳細な注意喚起（PDF）

攻撃手法の詳細、主に狙われている脆弱性、具体的な確認・対策方法、攻撃に関連するIoC（侵害指標）については、以下のPDFをご参照ください。

【注意喚起】相次ぐ情報漏洩、その原因の一つは「アプリ解析からのサーバ攻撃」（PDF・全7ページ）

脅威情報分析チーム LETTICE

LETTICE（Leading Expert Team for Threat Intelligence Collection and Evaluation）はNICTのサイバーセキュリティネクサス（CYNEX）において、2024年2月に発足した脅威情報の共同分析チームです。CYNEXに参画する組織の有志によって構成され、様々なサイバー脅威に関する情報を共同で分析し、得られた知見の共有に取り組んでいます。

本件に関する連絡先

CYNEXアライアンス事務局　E-mail: cynexml.nict.go.jp