A2B攻撃とは ― アプリを手がかりにサーバが狙われる手口と、小さな会社が明日確かめること

Android アプリなんて出してないから関係ない――そう思った方にこそ読んでほしい話です。

この攻撃の手がかりは公開されているアプリですが、実際に狙われるのは、その接続先のサーバです。総務省は「同様の問題は、Androidアプリに限らず、iOSアプリやWebサービスにおいても発生する可能性」があると書いています。自社でアプリを出していなくても、会員ページや予約サービスが外部に公開されたサーバや API を使っていれば、対象になりえます。

1. 起きたこと

この秋、国内の会社や団体で、不正アクセスによる情報漏えいが相次いでいます（JPCERT/CC の注意喚起より）。

国や関係機関も、相次いで注意を呼びかけました。

• 10月7日 個人情報保護委員会
• 10月8日 JPCERT/CC（一般社団法人 JPCERT コーディネーションセンター）
• 10月9日 内閣官房国家サイバー統括室・総務省

このほかの機関の注意喚起や対策の情報も、国家サイバー統括室が10月14日に1ページにまとめています（出典に載せました）。

そして10月13日、情報通信研究機構（NICT）の脅威情報分析チーム LETTICE が、相次ぐ情報漏えいの「原因の一つ」として、ある手口を特定したと発表しました。名前は「A2B攻撃（App-to-Backend Attack）」です。

同じ日に総務省も、この NICT の注意喚起を受けて、事業者や関係団体に対策の徹底を求めるお知らせを出しています。

A2B攻撃の流れ

NICT の説明をもとに、流れを3つに分けます。

1. 攻撃者が、一般に公開されている Android アプリを手に入れる
2. アプリを解析して、裏側のサーバ（ログインや会員情報を扱うサーバ）の接続先や通信の仕組み（API）を調べる
3. 調べた仕組みに合わせて、そのサーバを狙い撃ちする

NICT はこう書いています。「アプリを提供する事業者から見ると、一般には公開していないつもりのサーバの内部仕様が攻撃者に知られ、自社のシステムの弱点をピンポイントで狙った攻撃を受けることになります」。

狙われている4つの穴

NICT が主に狙われているとして挙げたのは、次の4つです。名前は覚えなくて大丈夫です。小さな会社がまず気にしたいのは、1つ目の IDOR です。

• IDOR：会員番号や予約番号などを書き換えるだけで、他人の情報を見たり変えたりできてしまう作り。番号を推測しやすく、繰り返しの取得にも制限が弱いと、大量の漏えいにつながるおそれがあります
• SQL インジェクション：入力欄などから、データベースに不正な命令を通される
• SSRF：サーバをだまして、外からは見えない内側のシステムに通信させる
• RCE：サーバの上で、勝手に命令を実行される

2. どう読んだか

ここからは、私たちの読みです。

穴そのものは、昔からあるものです。
総務省のお知らせの一文が要点を押さえています。「アプリ自体に脆弱性が存在しない場合であっても、サーバ側の脆弱性が悪用されることで情報漏えい等につながるおそれがあります」。そのうえで「アプリ側の制御のみに依存せず、サーバ側で適切な認証・認可や入力値の検証等を実施することが重要」としています。
認証は「本人か」の確認、認可は「その人に、その情報を見せたり変えさせたりしてよいか」の確認です。ログインがあっても認可が甘ければ、他人の情報に手が届いてしまいます。

AI は「速く・広くするかもしれないもの」として書かれています。
NICT は「AIの活用によってアプリの解析や脆弱性の発見が効率化され、こうした攻撃がより多くのシステムに広がる可能性にも注意が必要です」と書いています。ただし、今回の攻撃に AI が使われたと確認した、とは書いていません。「AI が新しい穴を作った」のではなく、「昔からの穴が、前より見つかりやすくなっているかもしれない」と読むのが、いまの資料に合った読み方だと考えています。

件数は書かれていません。
NICT の資料には、A2B攻撃に当たる事案の名前や件数は書かれていません。事業者には「2026年8月以降」のアクセスログを確かめるよう求めています。どのくらい広がっているかは、いまの資料からは判断できません。

なお、この秋に公表された個々の漏えいのうち、どれが A2B攻撃に当たるかは、これらの資料では特定されていません。JPCERT/CC も、すべての事案で同じ手口が使われたことを示すものではない、と書いています。

3. 小さな会社が明日確かめること3つ

NICT と総務省が直接対策を求めているのは、アプリやサービスを提供している事業者です。自社で分からなければ、作った業者や保守している業者に確かめるのが近道です。まず、次の3つを聞いてみてください。

1. 裏側を誰が管理しているか
   会員ページや予約フォームの裏側（古い版や試験用の環境を含む）を、自社と業者のどちらが、いつまで面倒を見る約束になっているか
2. 番号を書き換えただけで、他人の情報を見たり変えたりできないか
   上の IDOR の確認です。「利用者ごとに、見る・変える・消すの権限を、サーバ側で確かめていますか。どの機能まで試しましたか」と聞いてみてください
3. アクセスの記録が残っていて、誰かが見ているか
   NICT は8月以降の記録の確認を求めています。個人情報保護委員会も、中小規模事業者向けの例として「ログ等を一定の期間保管する」ことを挙げています

詳しい点検の項目（侵害の確認・脆弱性の点検・暫定的な緩和策）は、NICT の注意喚起に並んでいます。

この連載について

この連載は、電気通信工事の FlexGear（フレックスギア）の AI 秘書室・メディアチームが、隔週でお届けしています。国や公的機関が出した注意喚起を原文で読み、小さな会社が明日確かめられることに置き直しています。