総務省は2026年10月13日、公開されているアプリの解析情報を悪用した攻撃について注意喚起を発表した。情報通信研究機構（NICT）が同日、相次ぐ情報漏えい事案の原因の一つとしてこの攻撃手法を特定し、注意喚起を公表したことを受けたものだ。
NICTはこの手法を「A2B攻撃（App-to-Backend Attack）」と名付けた。公開されているAndroidアプリを解析し、そこで得た情報をもとにアプリの接続先サーバの脆弱性を狙う攻撃である。総務省は事業者や関係団体に対し、NICTの注意喚起を踏まえてセキュリティ対策を徹底するよう求めている。
相次ぐ情報漏えいを受けた2度目の注意喚起
総務省は、大量の個人情報を扱う事業者の情報システムに不正アクセスが行われ、個人情報を含むデータが盗まれる事案が相次いでいることを背景に挙げている。同省は10月9日にも、不正アクセスによる情報漏えいの防止に向けた注意喚起を出していた。今回はそれに続くものとなる。
A2B攻撃を特定したのは、NICTのサイバーセキュリティネクサス（CYNEX）にある脅威情報分析チーム「LETTICE」だ。2024年2月に発足したチームで、CYNEXに参加する組織の有志で構成されている。NICTは、情報漏えいの攻撃手法には不明な点が多く、実態を明らかにすることが急務だったとしている。
A2B攻撃の仕組み
A2B攻撃では、攻撃者がまず一般に公開されているAndroidアプリを入手して解析する。そこから、アプリが通信するサーバの接続先や通信の仕組み（API）などを調べる。得られた情報をもとに、攻撃対象のサーバに合わせた攻撃を実行する流れだ。
アプリを提供する事業者から見ると、公開していないつもりのサーバの内部仕様が攻撃者に知られることになる。その結果、自社システムの弱点をピンポイントで狙われ、サーバに脆弱性があれば個人情報などの漏えいにつながるおそれがある。総務省は、アプリ自体に脆弱性がなくても、サーバ側の脆弱性が悪用されれば情報漏えいが起こりうると指摘している。
NICTは、AIの活用でアプリの解析や脆弱性の発見が効率化されている点にも注意を促す。こうした攻撃が、より多くのシステムに広がる可能性があるためだ。
Androidアプリに限らない問題
総務省とNICTはいずれも、同様の問題がAndroidアプリに限らないと明記している。iOSアプリや、Webサービスのバックエンドで使われるAPIでも起こりうるという。スマートフォンアプリやWebサービスを提供する事業者は、広く対象になると考えたほうがよい。
総務省が重視するのは、アプリなど利用者側からの通信を信頼できるものとは限らないと前提に置くことだ。アプリ側の制御だけに頼らず、サーバ側で適切な認証・認可や入力値の検証を行うことが重要だとしている。
推奨される3つの対策
NICTの注意喚起は、Androidアプリを公開する事業者に向けて3つの対策を推奨している。1つ目は「侵害の確認」で、公開しているAPIやサーバを洗い出し、アクセスログなどから不審なアクセスや情報の不正取得がないかを確かめる。
2つ目は「脆弱性の点検」だ。APIの認可不備（IDOR/BOLA）、SSRF、リモートコード実行（RCE）、SQLインジェクションなどの脆弱性や設定不備を重点的に点検する。3つ目は「暫定的な緩和策」で、不要なAPIの停止、アクセス制限、監視の強化、認証情報の無効化・再発行などを行う。
NICTの注意喚起には、攻撃の具体的な手法や主に狙われている脆弱性の解説に加え、攻撃に関連するIoC（侵害指標）も掲載されている。なお、NICTは個別システムの診断や技術相談には対応していない。社内のセキュリティ担当者や開発・運用の委託先、セキュリティ専門事業者に相談して対応を進めるよう求めている。
企業への示唆
自社でスマートフォンアプリやWebサービスを提供している企業は、まず公開中のアプリが通信しているAPIとサーバを一覧にすることから始めたい。開発を外部に委託している場合、どのサーバが外部から到達可能かを社内で把握できていないこともある。委託先と連携し、アクセスログの保存期間と調査の可否も確認しておく必要がある。
点検では、ログインしていれば他人のデータも取得できてしまうといった認可の不備が重点項目となる。アプリの画面で制御しているから安全だという前提は、A2B攻撃では成り立たない。サーバ側で利用者ごとのアクセス権を検証しているかを、脆弱性診断などで確かめておきたい。
NICTが掲載しているIoCは、自社のログと照合する手がかりになる。不審な痕跡が見つかった場合に備え、認証情報の無効化や不要なAPIの停止を速やかに判断できる体制も整えておきたい。
ITトレンドでセキュリティ診断サービスについてチェック！[【ランキング】セキュリティ診断サービスおすすめ22選を比較！料金相場や選び方も解説]
不正アクセスへの注意喚起はこちらもチェック！[JPCERT/CCが国内で相次ぐ不正アクセスに注意喚起——内部APIの悪用や既知の脆弱性探索など3つの攻撃類型、BIツールや従業員向けシステムも点検対象に]
まとめ
総務省は、公開アプリを解析して接続先サーバを狙う「A2B攻撃」について注意喚起を行った。NICTが相次ぐ情報漏えいの原因の一つとして特定したもので、Androidアプリに限らずiOSアプリやWebサービスのAPIでも起こりうる。
推奨される対策は、侵害の確認、脆弱性の点検、暫定的な緩和策の3つだ。アプリを提供する企業は、アプリは解析されるものという前提に立ち、サーバ側の認証・認可を早急に点検したい。
