連続不正アクセスの実態判明　Androidアプリを解析してAPIに侵入か：攻撃者はスマホアプリの中まで調べていた

Webサービスへの不正アクセスが相次ぐ中、攻撃者はサーバの脆弱性を探すだけではなかった。JPCERT/CCの調査で見つかったのは、Androidアプリの配布ファイルや解析ツール、APIの弱点を探るために使われたと見られるスクリプトだ。AIも利用した攻撃者は、どこまで標的のシステムを調べていたのか。

» 2026年10月19日 08時00分公開

[＠IT]

この記事は会員限定です。会員登録（無料）すると全てご覧いただけます。

　JPCERT/CCは2026年10月15日、国内外のWebサービスを狙った連続不正アクセス事案について、攻撃に使われた可能性があるサーバの調査結果を公表した。攻撃者はAIを利用して既知の脆弱（ぜいじゃく）性をスキャンしていた他、API経由の攻撃も実施していたという。

　調査では、「Android」アプリの配布ファイルや解析ツール、APIの脆弱性を検証するために使われたと見られるスクリプトなどが見つかった。攻撃者はWebサーバの脆弱性を探すだけでなく、アプリの内部構造やAPIの実装にも目を向けていた可能性がある。

ついに攻撃者の動きが見えた　Androidアプリを解析して不正アクセスを実行

　JPCERT/CCが調査した攻撃元サーバの一つでは、Androidアプリの配布ファイルであるAPK（Android Package Kit）が見つかった。攻撃者がアプリを解析し、関連するAPIにサーバサイドリクエストフォージェリー（SSRF）などの脆弱性の有無を調べていた痕跡も確認された。

　このサーバには、日本以外の地域向けに提供されているアプリも保存されていた。SSRFの検証に使われたと見られるPythonスクリプトも見つかった。このスクリプトはHTTPSサーバとして動作し、特定のリクエストに対してHTTP 302のリダイレクト応答を返す仕組みだった。

　別の調査対象サーバでは、複数のAPKに加え、Androidアプリの解析ツール「jadx」や、開発フレームワーク「Flutter」で作られたアプリのリバースエンジニアリングに使われる「Blutter」に関連するファイルを確認した。APKの展開に関連するディレクトリや、ライブラリから抽出した文字列を保存していたと思わしきファイルも見つかっている。

　Flutterは、共通のコードベースから複数のプラットフォーム向けアプリを開発できるフレームワークだ。Blutterは、Flutterアプリに含まれるDartのAOT（Ahead-of-Time）コンパイル済みコードを解析するためのオープンソースツール（OSS）である。こうしたツールを使えば、アプリの内部構造やAPIとの通信処理などを調べられる可能性がある。

　アプリの解析がAPIへの不正アクセスにつながるリスクは、別の技術検証でも示されている。2026年6月に公開されたIQCrafterの技術記事では、Flutterアプリを解析し、アプリ内に埋め込まれたRSA秘密鍵やAPIの認証処理、リクエスト署名の生成ロジックを特定した事例を紹介した。同記事では、署名処理を再現し、独立したPythonクライアントから本番環境のAPIにアクセスできたと報告している。

　ただし、これは別のアプリを対象とした検証であり、今回の攻撃者が同様の手法で秘密鍵を取得したり、APIの認証を突破したりしたことを示すものではない。

アプリの難読化だけでは守れないAPI

　アプリの内部に共通の秘密鍵や長期間有効な認証情報を埋め込む設計にはリスクがある。アプリを解析されて秘密情報や認証処理を特定されれば、正規アプリを介さないリクエストを生成され、不正利用につながる恐れがあるためだ。

　JPCERT/CCは対策として、アプリに共通の秘密鍵や長期間有効な認証情報を埋め込まないことを推奨した。サーバ側で利用者を適切に認証し、操作ごとに認可を実施することも重要だ。アプリ側の署名処理や難読化だけに依存せず、APIのレート制限や異常なリクエストの監視、正規アプリ以外からのアクセスも想定した対策を求めている。

　また、外部URLから情報を取得するAPIでは、接続先だけでなく、リダイレクト後の接続先も検証する必要がある。SSRFを悪用されると、サーバから意図しない接続先へのアクセスを引き起こされる恐れがあるためだ。

別のサーバではEDR回避やWebシェルの痕跡も

　JPCERT/CCは、今回の攻撃と直接関係しない別のサーバでも、Webアプリケーションに加え、「MySQL」や「Jenkins」、メールゲートウェイなどへの攻撃に関連するファイルを確認した。EDRの回避を試みた痕跡や、標的ネットワーク内に設置されたと見られるWebシェルも見つかっており、ネットワーク内部への侵入を試みた可能性があるという。

　JPCERT/CCは引き続き関係者と連携して調査・対応を進める。攻撃元IPアドレスや攻撃手法などに関する情報提供も呼び掛けている。また、攻撃の標的となっている可能性がある組織を確認した場合には、対象組織に連絡しているという。

　今後はWebサーバの脆弱性管理に加え、アプリの内部構造やAPIの認証・認可まで含めた対策が求められる。

国内Web侵害119件、“情報漏えいドミノ”の背後でいま何が起きているか
毎日のように企業が情報漏えいを公表している。国内Web侵害の公表件数は2026年10月6日時点で119件。この異常事態を引き起こす要因は何か。専門家のデータから、従来の攻撃者像だけでは説明しにくい動きと、WAFや脆弱性診断だけでは通用しないWebの穴が見えてきた。あらためて企業がすべきセキュリティ対策を問う。
Googleの正規ドメインなのに偽Webサイト　パスワード管理ツールまで反応したフィッシングの正体
「Googleのドメインだから大丈夫」「CAPTCHAがあるから本物」――そんな判断が通用しないフィッシング事例が報告された。偽WebサイトはGoogleの正規サービスに置かれ、パスワード管理ツールまで入力候補を提示したという。
「CTFはAIによって終わりました」　現役ハッカーが見た「人間の敗北」
「もうAIに勝てる人間はほとんどいない」。CTFは競技として崩壊し、脆弱性探索は“パチンコ”と化し、CVEの所持は何の実績にもならなくなった。日本有数の実績を持つ現役ハッカーが語る、AIの華々しい性能向上の裏にある負の側面とは。
タイムズ不正アクセス被害　裏で動いていた“20年前のシステム”とは？
大きな話題になっているタイムズカーの不正アクセス被害。免許証画像160万件の漏えいを招いたこの事件の裏では“20年前のシステム”が動き続けていた。被害原因と今後漏えい被害者が取るべき対策を考える。