サイバーリスクの新たな注意点｜A2B攻撃とは？公開アプリから顧客情報が狙われる仕組み
自社の会員アプリや予約アプリ。その裏側で顧客情報を管理するサーバーは、十分に守られているでしょうか。NICTは2026年10月13日、公開Androidアプリの解析を手がかりに接続先サーバーを狙う「A2B攻撃」への注意を呼びかけました。
A2B攻撃とは？アプリからサーバーの手がかりを得る攻撃
A2BはApp-to-Backend Attackの略です。攻撃者は公開アプリを入手して調べ、通信先や情報のやり取りの仕組みであるAPIを把握します。その情報を使い、接続先サーバーにある弱点を狙います。
例えば、店舗の案内図から受付の場所を知り、受付での本人確認に抜けがないか探すような流れです。これは仕組みを説明するための例えで、特定の被害事例ではありません。接続先を知られただけで直ちに情報が漏れるわけではなく、サーバー側の不備が問題になります。
アプリ自体に問題がなくても安心できない理由
CYNEXの注意喚起では、アプリ自体に脆弱性がなくても、バックエンドの認証・認可や入力値の検証に不備があれば被害につながるとしています。「誰か」を確認する認証に加え、「その人にその情報を見る権限があるか」を確認する認可が重要です。
NICTは、iOSアプリやWebサービスのAPIでも同様の問題が起こり得るとしています。また、AIによる解析の効率化で攻撃対象が広がる可能性にも触れています。すべてのアプリが侵害された、という発表ではありません。
開発を外注している会社も、確認する担当者を決める
会員・予約・通販などのアプリを提供する会社では、開発会社に任せきりにせず、社内の窓口を一人決めましょう。「確認してください」だけでは、誰が何を調べるかが曖昧になります。対象、担当者、回答期限を一枚に整理すると、未確認事項を追いかけやすくなります。
開発・運用会社へ確認する3つの項目
以下は、NICTの対策区分をもとに防災ラボが整理した、確認依頼の例です。
侵害の有無：アプリが接続するAPI・サーバーの一覧と、不審なアクセスや大量取得をログで調べた結果を確認する。
弱点の点検：利用者が他人の情報を取得できないか、サーバー側で権限を確認しているか、入力内容の扱いに不備がないかを点検してもらう。
当面の対応：不要なAPIの停止、アクセス制限、監視強化、必要に応じた認証情報の無効化・再発行について、実施範囲と業務への影響を確認する。
「対応済み」という回答だけで終わらず、確認日・対象範囲・残る課題・改修予定を記録しましょう。暫定的な制限を実施した場合も、根本的な不備の修正と再確認が必要です。
今日行うこと：自社アプリの管理先を確認する
まずは、自社名で提供しているアプリと、その開発・保守会社を一覧にしてください。次にこの記事の出典を添え、上の3項目について回答を依頼します。自社で技術的な判断が難しい場合は、開発・運用会社やセキュリティ専門事業者と確認を進めましょう。
防災ラボは、合同会社アプリコット&サクラインシュアランスが運営する情報発信ブランドです。
出典
本記事は上記の公表資料に基づき、2026年10月17日に作成しました。具体的な確認依頼や進め方は防災ラボによる実務上の提案です。
コメント