この度、国立研究開発法人情報通信研究機構（NICTエヌアイシーティー、理事長: 大野 英男）の脅威情報分析チームLETTICEレティスより、国内で相次ぐ情報漏えい事案の原因の一つとして、一般に公開されているAndroidアプリを解析し、その情報を悪用してアプリの接続先であるバックエンドサーバを攻撃する手法を特定したと報道がありました。

LETTICEは、この攻撃手法を「A2B攻撃（App-to-Backend Attack）」と名付け、その仕組みと、Androidアプリを公開する事業者に推奨する3種の対策をまとめた注意喚起を公表しました。

同様の問題はAndroidアプリに限らず、iOSアプリやWebサービスのバックエンドAPIでも発生する可能性があるため、これらを提供する事業者においても注意が必要です。さらに、AIの活用によってアプリの解析や脆弱性の発見が効率化され、こうした攻撃がより多くのシステムに広がる可能性にも注意が必要です。

今回公表した注意喚起では、A2B攻撃の具体的な手法や主に狙われている脆弱性を解説するとともに、Androidアプリを公開する事業者に推奨する「侵害の確認」「脆弱性の点検」「暫定的な緩和策」の3種の対策を紹介しています。また、攻撃に関連するIoC（侵害指標）も掲載されています。

＜ポイント＞

• 国内で相次ぐ情報漏えい事案の原因の一つとして、公開アプリを悪用した「A2B攻撃」を特定
• 攻撃者は公開Androidアプリを解析し、得られた情報をもとに接続先のサーバを狙い撃ち
• Androidアプリを提供する事業者に向け、3種の推奨対策をまとめた注意喚起を公表

アプリ利用事業者の皆様におかれましては、自組織のアプリが攻撃者によって解析され、その結果が バックエンドサーバへの攻撃に利用されることを前提として、各種のセキュリティ対策を早急に点検いただきますようお願い申し上げます。

■公式発表

・【注意喚起】 相次ぐ情報漏えい、その原因の一つは「アプリ解析からのサーバ攻撃」（国立研究開発法人情報通信研究機構）

・【注意喚起】 相次ぐ情報漏えい、その原因の一つは「アプリ解析からのサーバ攻撃」（詳細PDF）

■関連記事

・不正アクセスによる情報漏えい等の事案を踏まえた 注意喚起及び情報提供に係る協力依頼（経済産業省）