情報漏えいを招く新手口「A2B攻撃」とは？ NICTが暴いた実態と緊急対策：Androidの「公開アプリ」を解析してバックエンドサーバを狙う（1/2 ページ）

NICTが注意喚起する「A2B攻撃」は、国内で相次ぐ情報漏えい事案の原因の一つとなる攻撃手法だ。そもそもA2B攻撃とは何なのか。攻撃の仕組みと企業が取るべき対策を解説する。

[＠IT]

　国内では情報漏えい事案が相次いでいる。攻撃手法には不明な点が残っており、被害の発生や拡大を防ぐには、攻撃の実態の解明が急務だ。AIによってアプリケーションの解析や脆弱（ぜいじゃく）性の探索が効率化する中、さらに広範なシステムに攻撃が及ぶ可能性がある。

　こうした中、国立研究開発法人情報通信研究機構（NICT）の脅威情報分析チーム「LETTICE」（Leading Expert Team for Threat Intelligence Collection and Evaluation）は2026年10月13日、国内で相次ぐ情報漏えい事案について、その原因の一つとなる攻撃手法を特定したと発表した。LETTICEはこの手法を「A2B攻撃」（App-to-Backend Attack）と名付けた。

　LETTICEはA2B攻撃に関して、攻撃の流れや攻撃者が主に狙う脆弱性に加えて、推奨する対策を「注意喚起」として公表した。どのように攻撃が成立するのか。具体的な対策とは。注意喚起の中身をまとめた。

相次ぐ情報漏えいの新手口「A2B」攻撃、まずは仕組みを整理

　攻撃者がGoogleのモバイルOS「Android」向けの公開アプリケーションを解析し、その結果を悪用してバックエンドサーバ（認証や利用者情報の管理などを担うサーバ）を攻撃する――。これがA2B攻撃の概要だ（図）。

図　A2B攻撃の流れ（出典：NICTのプレスリリース）《クリックで拡大》

　A2B攻撃では、攻撃者が一般公開のAndroidアプリケーションを解析し、サーバの接続先や通信の仕様など、提供事業者が一般には公開していないはずの情報を割り出して、バックエンドのサーバを攻撃する。サーバに脆弱性があると、その仕様に合わせたリクエスト（処理要求）を送信して悪用することで、不正アクセスや情報漏えいにつながる恐れがある。

　LETTICEが確認した実際のA2B攻撃では、攻撃者はまず、Googleのアプリケーション配信サービス「Google Play」で公開中のAndroidアプリケーション（日本市場向け）を入手し、プログラムを解析した。ここからサーバの接続先やAPI（Application Programming Interface）の構成、エンドポイント（APIの個別機能を呼び出すためのアクセス先）、通信に使うパラメーターなどを調べた。

　認証不要のAPIだけではなく、利用者アカウントでの認証後に使えるAPIも標的になっていた。Androidアプリケーション自体に脆弱性がなくても、サーバのAPIに認証・認可や入力値検証の不備があれば、不正アクセスや情報漏えいにつながる恐れがあるということだ。

　特徴的なのは、個々のサーバの構成やAPIの仕様に合わせて、攻撃内容が変化していたことだ。つまり不特定多数のサーバに、同一の攻撃を試みているわけではないことになる。

攻撃者が悪用する「4つの脆弱性」

　A2B攻撃において、攻撃者が主に探索・悪用する脆弱性として、LETTICEは次を挙げる。

• 外部からのリクエストでサーバに意図しない通信をさせる「SSRF」（Server-Side Request Forgery）
• サーバで不正なコマンドを実行する「RCE」（Remote Code Execution）
• データベースに不正なSQL処理を実行させる「SQLインジェクション」
• IDなどの識別子の変更だけで、他の利用者の情報を取得できる「IDOR」（Insecure Direct Object Reference）

　IDORは「BOLA」（オブジェクト単位の認可不備）とも呼び、識別子を推測・列挙できる場合、情報漏えいが広範囲に及ぶ恐れがある。