国立研究開発法人情報通信研究機構は、公開Androidアプリを解析し得た情報を用いて接続先のバックエンドサーバを狙う手法をA2B攻撃と命名し、国内で相次ぐ情報漏えい事案の一因として特定しました。脅威情報分析チームLETTICEが明らかにした流れは、公開アプリの入手と解析を起点に、通信先やAPIの仕組みを把握し、サーバの仕様に合わせて攻撃を実行するというものです。サーバ側に脆弱性が存在する場合、機微情報の漏えいにつながるおそれがあり、同様の問題はiOSアプリやWebサービスのバックエンドAPIにも及ぶ可能性があります。さらに、AIの活用で解析と脆弱性探索の効率化が進み、こうした攻撃が広範に拡大する懸念が示されています。
注意喚起では、Androidアプリを提供する事業者に向けて、侵害の確認、脆弱性の点検、暫定的な緩和策の三つを推奨し、関連する侵害指標も掲載しています。個別システムの診断や改修には専門的な確認が必要であり、プレスリリース元の個別相談には対応していない旨が案内されています。社内のセキュリティ担当者や開発運用の委託先、セキュリティ専門事業者と連携し、公表資料を手がかりに速やかな確認と対応を進めることが重要です。
詳しくは「国立研究開発法人情報通信研究機構」の公式ページまで。レポート／DXマガジン編集部
