情報通信研究機構（NICT）傘下の脅威情報分析チーム「LETTICE」は10月13日、公開されているAndroidアプリを解析してバックエンドサーバを狙う攻撃手法を「A2B攻撃（App-to-Backend Attack）」と名付け、注意喚起を公表した。国内で相次ぐ大規模な情報漏えい事案の原因の一つである可能性があるとして、事業者に侵害確認・脆弱性点検・緩和策の実施を呼びかけている。
事案の詳細
LETTICEによると、A2B攻撃は次のような手順で行われる。まず攻撃者が一般に公開されているAndroidアプリを入手・解析し、アプリが通信するサーバの接続先やAPIの仕様を調べる。得られた情報をもとに、バックエンドサーバに対して的を絞った攻撃を実行するという流れだ。
重要な点として、NICTは「アプリ自体に脆弱性がなくても、サーバ側の認証やアクセス権限の確認、入力内容の検証などに不備があれば、不正アクセスや個人情報の漏えいにつながる恐れがある」と指摘している。つまり、アプリそのものの脆弱性診断だけでは、この種の攻撃を防げない可能性がある。
悪用されやすい脆弱性として、IDOR／BOLA（アクセス権限不備）、SSRF（サーバーサイドリクエストフォージェリ）、RCE（リモートコード実行）、SQLインジェクションの4種が挙げられている。同様の手口は、Androidアプリに限らずiOSアプリやWebサービスでも起こり得るとされ、AIの活用によってアプリ解析や脆弱性探索が効率化され、攻撃がより多くのシステムに広がる可能性も指摘されている。
なお、NICTは特定の企業・事案を名指しして「A2B攻撃が原因だった」と確定しているわけではない。あくまで「相次ぐ情報漏えい事案の原因の一つである可能性」として、手法の存在と対策の必要性を注意喚起するものである。
影響と背景
2026年9月から10月にかけて、国内では公開アプリ・会員サイトを起点とする大規模な情報漏えい事案が相次いで公表されている。NICTが今回のタイミングでA2B攻撃を特定・公表した背景には、こうした事案の増加に対する実態解明の急務があるとみられる。
この手法の特徴は、攻撃対象となる企業のアプリそのものを直接改ざんしたり侵入したりする必要がなく、「一般公開されている情報（アプリ）を解析するだけ」で攻撃の足掛かりを得られる点にある。これは、アプリを公開しているあらゆる事業者が、企業規模を問わず標的になり得ることを意味する。
対策・今後の展望
LETTICEは、事業者向けに次の3つの対策を提示している。
- 侵害の確認：自社が公開しているAPI・サーバを棚卸しし、アクセスログから不審なアクセスや情報の不正取得の形跡がないか確認する。
- 脆弱性の点検：IDOR／BOLA（アクセス権限不備）、SSRF、RCE、SQLインジェクションを重点的に点検する。
- 暫定的な緩和策：不要なAPIの停止、アクセス制限の強化、認証情報の無効化・再発行、監視体制の強化を行う。
NICTは個別企業のシステム診断までは対応しないとしており、具体的な診断・是正についてはセキュリティ専門事業者への相談を推奨している。
CSRIからの現場アドバイス
【現場で何が起きているか】CSRIが支援する中小企業のWebアプリ脆弱性診断でも、スマートフォンアプリと連携するバックエンドAPIのアクセス権限不備（IDOR／BOLA）は頻出の指摘事項です。アプリ自体は問題なくても、「アプリが使っているAPIを直接叩けば、本来見えないはずの他人のデータが見える」というケースは珍しくありません。
【平易な解説】例えるなら、店舗の接客（アプリの画面）は丁寧でも、裏の倉庫（バックエンドサーバ）の鍵が甘いという状態です。アプリを解析すれば、裏の倉庫がどこにあり、どんな鍵がかかっているかの手掛かりが得られてしまいます。アプリを公開するということは、その裏側の設計図の一部を世界中に公開しているのと同じだと考えるべきです。
【今週中にできること】自社でスマートフォンアプリやAPIを公開している場合、まずどのAPIが外部からアクセス可能かを棚卸しする。次に、ユーザーIDやリソースIDをURLやパラメータに含む箇所で、他人のデータを不正に閲覧・変更できないか（IDOR／BOLA）を確認する。あわせて、使っていないAPIエンドポイントが残っていないか点検し、不要なものは停止する。
参照: 相次ぐ情報漏えい、その原因の一つは「アプリ解析からのサーバ攻撃」 ／ NICT CYNEX：A2B攻撃 詳細資料