情報通信研究機構（NICT）の脅威情報分析チームLETTICEは10月13日、国内で相次ぐ情報漏洩事案の原因の一つとして、一般に公開されているAndroidアプリを解析し、その情報を悪用してアプリの接続先であるバックエンドサーバーを攻撃する手法を特定。注意喚起を行った。その概要は以下のとおり。
LETTICEは、この攻撃手法を「A2B攻撃（App-to-Backend Attack）」と名付け、その仕組みと、Androidアプリを公開する事業者に推奨する3種の対策をまとめている。
A2B攻撃では、攻撃者が一般に公開されているAndroidアプリを入手・解析し、アプリが通信するサーバーの接続先や通信の仕組み（API）などを調べる。そして、得られた情報をもとに攻撃対象のサーバーに合わせた攻撃を実行する。
アプリを提供する事業者から見ると、一般には公開していないつもりのサーバーの内部仕様が攻撃者に知られ、自社のシステムの弱点をピンポイントで狙った攻撃を受けることになる。その結果、サーバーに脆弱性が存在する場合には、個人情報などの漏洩につながるおそれがある。
同様の問題はAndroidアプリに限らず、iOSアプリやWebサービスのバックエンドAPIでも発生する可能性があるため、これらを提供する事業者においても注意が必要となる。さらに、AIの活用によってアプリの解析や脆弱性の発見が効率化され、こうした攻撃がより多くのシステムに広がる可能性にも注意が必要。
今回公表した注意喚起では、A2B攻撃の具体的な手法や主に狙われている脆弱性を解説するとともに、Androidアプリを公開する事業者に推奨する「侵害の確認」「脆弱性の点検」「暫定的な緩和策」の3種の対策を紹介している。また、攻撃に関連するIoC（侵害指標）も掲載している。
関連リンク