A2B攻撃(App-to-Backend Attack)とは | 公開アプリを解析して、つながる先のサーバを狙う手口と、AIで広がるおそれ
3行で捉える
- A2B攻撃は、公開のAndroidアプリを解析して、そのアプリがつながるサーバの仕組みを調べ、そのサーバに合わせて攻撃する手口です。
- 狙われるのはスマホではなく、アプリの向こう側のサーバ。アプリに欠陥がなくても、サーバ側の認証や認可に不備があれば情報が漏れます。
- 2026年10月、NICTが国内の情報漏えいの原因の一つとして注意喚起し、AIで解析や脆弱性の発見が効率化され、広がるおそれにも触れました。
意味
A2BはApp-to-Backendの略で、アプリから裏側(バックエンド)のサーバへ、という意味です。2026年10月13日、国の研究機関であるNICT(情報通信研究機構)のサイバーセキュリティの共同分析チームLETTICE(レティス)が名付け、注意喚起しました。
スマホのアプリの多くは、ログインの確認や会員情報の管理などを、アプリの中ではなく、つながる先のサーバで行っています。アプリとサーバは、API(アプリとサーバがやりとりするための決まりごと)を通じて情報をやりとりします。公開されているアプリは誰でも手に入るので、解析すれば、どのサーバと、どんな決まりごとでやりとりしているかが分かってしまいます。A2B攻撃は、そうして知ったサーバの仕様に合わせて、ピンポイントで弱点を狙います。
手口の流れ
NICTの説明では、流れは大きく3つです。
1. アプリを手に入れて解析する。攻撃者は、一般に公開されているAndroidアプリを入手し、解析します。
2. つながる先を調べる。アプリが通信するサーバの接続先や、通信の仕組み(API)などを調べます。
3. サーバに合わせて攻撃する。得られた情報をもとに、そのサーバに合わせた攻撃を行います。
事業者の側から見ると、公開するつもりのなかったサーバの内部の仕様が知られ、弱点を狙い撃ちされる、ということです。NICTは、点検の対象として、APIの認可の不備(他人の情報を取り出せてしまうもの)などを挙げています。
スマホが危ない、という話ではない
名前にAndroidが出てきますが、Androidのスマホ本体の弱点の話ではありません。アプリそのものに欠陥がなくても、サーバ側の認証や認可、入力の確かめ方に不備があれば、不正アクセスや情報漏えいにつながるおそれがある、とNICTは書いています。そして、同じ問題はiOSのアプリやウェブのサービスのバックエンドでも起こりうる、としています。
NICTは、国内で相次ぐ情報漏えいの原因の一つとしてこの手口を特定したとしていますが、確認した件数や、どの事案がこの手口によるものかは公表していません。
AIで、何が変わるか
NICTは、AIの活用によってアプリの解析や脆弱性の発見が効率化され、こうした攻撃がより多くのシステムに広がる可能性にも注意が必要だ、としています。これまで手間と腕の要った解析が速くなれば、狙える数が増える。当サイトは、AIが変えるのは攻撃の種類というより、攻撃できる数だと読みます。
一方で、守る側もAIを使い始めています。9月には、GitHubのセキュリティ研究者が、AIに調査の手順を踏ませる仕組みでAndroidアプリを調べ、24件の脆弱性を見つけて報告したと公表しました。ただし、AIが出した候補が本当に攻撃として成り立つかは、研究者が一つずつ確かめています。どちらが先に、どれだけの数を見られるかの競争になっている、と当サイトは見ます(ゼロデイとは)。
どう備えるか
アプリを出している事業者として。NICTは、侵害の確認、脆弱性の点検、暫定的な緩和策の3つを推奨しています。公開しているAPIやサーバを洗い出し、アクセスの記録に不審なものがないかを確かめる。認可の不備などを重点的に点検する。不要なAPIを止め、アクセスを制限し、必要なら認証情報を作り直す。根っこにあるのは、公開したアプリは解析されるものだという前提で、サーバ側で守るという考え方です。
アプリを使う利用者として。NICTの注意喚起は事業者向けで、利用者への助言は含まれていません。そのうえで当サイトは、サーバを直接守れない利用者にできることとして、自分の情報を預けている先の数を減らすことを勧めます。使わなくなったアプリはアカウントごと削除する、パスワードを使い回さない、二段階認証やログイン通知をオンにしておく。漏れたときの被害を小さくし、早く気づくための備えです。
関連する用語とレビュー
ゼロデイとは / 分解攻撃とは / AnthropicのAIのサイバー機能、3段階の審査制へ(レビュー) / AI用語解説トップ