相次ぐ情報漏えいの一因は「Androidアプリ」 NICTが「A2B攻撃」対策を公表

国立研究開発法人情報通信研究機構(NICT)は13日、国内で相次ぐ情報漏えい事案の原因の一つとして、公開アプリを悪用した「A2B攻撃」を特定したと発表。3種類の推奨対策をまとめて公表した。

日本国内では10月に入ってから、個人情報などの大量漏えい事件が相次いでいる。多くの事件ではまだ攻撃手法には不明な点も多いものの、NICTの脅威情報分析チーム「LETTICE」の調査・分析では、原因の一つとして、公開Androidアプリの解析結果を悪用し、アプリの接続先サーバーの仕様に合わせた攻撃を行なう「A2B攻撃(App-to-Backend Attack)」を特定した。

A2B攻撃では、攻撃者が公開されているAndroidアプリを入手・解析し、アプリが通信するサーバーの接続先や通信の仕組み(API)などを調査。得られた情報をもとに、攻撃対象のサーバーに合わせた攻撃を実行する。

アプリを提供する事業者から見ると、公開していないはずのサーバーの内部仕様が攻撃者に知られ、自社のシステムの弱点をピンポイントで狙った攻撃を受けることになっている。結果として、サーバーに脆弱性が存在する場合に、個人情報などの漏えいにつながるおそれがあるという。

今回確認されたA2B攻撃では、SSRF(Server-Side Request Forgery)、RCE(Remote Code Execution)、SQLインジェクション、IDOR(Insecure Direct Object Reference)の4つの脆弱性が、探索・悪用の対象と指摘。

Androidアプリを公開している事業者に対し、「侵害の確認」、「脆弱性の点検」のほか、国外や不要なアクセス元からの通信を一時的に制限するなど「暫定的な緩和策」などの対策を呼びかけ。また、恒久的な対策としてシステムの設計・実装を見直す際には、攻撃者がアプリを介さずにAPIを直接操作できることを踏まえ、アプリ側の制御に依存せず、バックエンドサーバー側で適切な認証・認可や入力値の検証などを実施するよう求めている。

NICTでは、Androidアプリに限らず、iOSアプリやWebサービスのバックエンドAPIでも発生する可能性があるため対策が必要と説明。加えて、AIの活用によってアプリの解析や脆弱性の発見が効率化されていることから、こうした攻撃がより多くのシステムに広がる可能性もあるとしている。