[ITmedia News] 相次ぐ情報漏えいの一因に「A2B攻撃」 公開アプリを解析し裏側のサーバを狙う手口、NICTが公表

著者 梅林日奈子

[ITmedia]

　国内で相次ぐ情報漏えい事案の原因の一つとして、公開済みのAndroidアプリを解析し、接続先のサーバを狙う攻撃を確認した――情報通信研究機構（NICT）の脅威情報分析チーム「LETTICE」（レティス）は10月13日、「A2B攻撃」（App-to-Backend Attack）と名付けた手法を公表し、アプリ提供事業者へ注意を呼びかけた。アプリ自体に脆弱性がなくても、サーバ側の不備によって不正アクセスや個人情報の漏えいにつながる恐れがあるという。

　A2B攻撃では、一般公開されているAndroidアプリを攻撃者が解析し、アプリが通信するサーバの接続先や、アプリが利用しているAPIなどを調査する。得られた情報をもとに、個々のサーバに合わせた攻撃を実行するという。

A2B攻撃の流れ（LETTICE）

　攻撃対象となるのは、アプリの裏側で動作する「バックエンドサーバ」。アプリ自体に脆弱性がなくても、サーバ側の認証やアクセス権限の確認、入力内容の検証などに不備があれば、不正アクセスや個人情報の漏えいにつながる恐れがある。

　同様の問題はAndroidアプリに限らず、iOSアプリやWebサービスでも発生する恐れがあり、NICTはこれらを提供する事業者にも注意を呼びかけている。また、AIの活用によってアプリの解析や脆弱性の発見が効率化され、攻撃がより多くのシステムに広がる可能性も指摘した。

　LETTICEは、アプリを提供する事業者に対し、（1）公開しているAPIやサーバを洗い出し、アクセスログなどから不審なアクセスや情報の不正取得がないか確認すること、（2）APIのアクセス権限の不備（IDOR／BOLA）や、SSRF、RCE、SQLインジェクションなどの脆弱性・設定不備を重点的に点検すること、（3）不要なAPIの停止やアクセス制限、監視の強化、認証情報の無効化・再発行などの暫定的な対策を実施すること――の3つを推奨している。

Androidアプリを公開する事業者に推奨する対策（LETTICE）

　また、LETTICEは、今回確認された攻撃に関連するIPアドレス3件も、侵害の有無を調べる際の参考情報として公開した。ただし、これらとの一致だけで侵害の有無は断定できないため、アクセスログや通信内容などと併せて判断する必要があるという。

LETTICEが公開した3つのIPアドレス

　同チームは、「Androidアプリを公開している事業者には、自組織のアプリが攻撃者によって解析され、その結果がバックエンドサーバへの攻撃に利用されることを前提として、各種のセキュリティ対策を早急に点検することを強く推奨する」と呼びかけた。