“A2B攻撃”"公開Androidアプリを解析し、得られた情報をもとに接続先の〔バックエンド〕サーバを狙い撃ち"／"手法や主に狙われている脆弱性" "事業者に推奨する「侵害の確認」「脆弱性の点検」「暫定的な緩和策」"
JPCERTの言うAPIに気をつけろってそういうことね。アプリ経由でしか使わない想定のAPIだと油断やチェックがザルというのはありそう。スマホアプリだとAIがコードを丸ごと解析できちゃうし。
「公開アプリを悪用した「A2B攻撃」を特定」「攻撃者は公開Androidアプリを解析し、得られた情報をもとに接続先のサーバを狙い撃ち」「一般には公開していないつもりのサーバの内部仕様が攻撃者に知られ」
あー! そうね。ダサいアプリはAPI叩くための固定クレデンシャルがそのまま埋め込まれてたりするもんな。
名前がついた。この攻撃が特に日本に目立ってるということは、日本のスマホアプリ請負業界にBad Practiceとしてこういう雑な実装が拡がっていたことを意味するのではないかな。とはいえ直ぐに対応しないと。
システムエンジニアとして言うが、これが今起きている原因の大半だとしたら、日本のシステムエンジニアリングはクソみたいな低レベルってことになる。AI以前に金とって仕事するレベルにない。
名前が付いたのは良い。スマホアプリの設計がセキュリティを考慮してないせいで発生しているという事なのだろう。WebサービスのバックエンドAPIは普通インターネット上でやり取りしてないと思うのだがどうだろう
今何でもアプリで囲い込もうとするからやたらとアプリ増えてるよね。雑に作られてるアプリも多そう。
“攻撃者は公開Androidアプリを解析し、得られた情報をもとに接続先のサーバを狙い撃ち”
でかいとこがやられてるのは多重下請けで末端のベンダーに丸投げして上流のベンダーがまともに仕事してない結果じゃないか。
"国内で相次ぐ情報漏えい事案の原因の一つとして、公開Androidアプリの解析結果を悪用し、アプリの接続先サーバの仕様に合わせた攻撃を行う「A2B攻撃（App-to-Backend Attack）」を特定"
AIに投げた方がもっとましな実装にしそう
“一般に公開されているAndroidアプリを解析し、その情報を悪用してアプリの接続先であるバックエンドサーバ※を攻撃する手法を特定しました”
アンドロイドアプリからバックエンドAPIの仕様（エンドポイント、パラメータ）を調べて攻撃する手口でNICTがA2B攻撃と命名した
A2B攻撃
まぁ、そうですよね（予測が当たってちょっと嬉しい） https://b.hatena.ne.jp/entry/4793999182885786786/comment/tohokuaiki ／名前が付くと認識と相互理解が進んでいいですよね。
マクニカさんの推測記事がビンゴかな。割とAIを相棒に分析すれば、現実的にできそうやしな・・・
あ、そうか、難読化ってもう意味をなくしたのかな？
“国内で相次ぐ情報漏えい事案の原因の一つとして、公開アプリを悪用した「A2B攻撃」を特定” “攻撃者は公開Androidアプリを解析し、得られた情報をもとに接続先のサーバを狙い撃ち”
アプリの解析も AI にやらせてるんだろうか
"A2B攻撃では、攻撃者が一般に公開されているAndroidアプリを入手・解析し、アプリが通信するサーバの接続先や通信の仕組み（API）などを調べます。そして、得られた情報をもとに、攻撃対象のサーバに合わせた攻撃を実行"
NICTが公開Androidアプリの解析で接続先サーバーを狙う「A2B攻撃」を特定。iOSやWebのAPIにも注意を促す。AIによる解析効率化で拡大の可能性。侵害確認・脆弱性点検・暫定的な緩和策の3種を推奨し、侵害指標も公開。
守り抜くぞ
“App-to-Backend Attack”
こういうのって脆弱性診断受けてれば防げるもんじゃないの？？？診断すらしてなくて放流されてるAPIばっかりってこと？？
“公開されているAndroidアプリを入手・解析し、アプリが通信するサーバの接続先や通信の仕組み（API）などを調べます。そして、得られた情報をもとに、攻撃対象のサーバに合わせた攻撃を実行します”
割合としてはどうなんだろう。フレームワークをドキュメント通りに使っていれば防げそうなものだが。IDORはやりそうか？
アプリ側もAIを使って難読化をするというエスカレーションは考えられないだろうか？
記事中にiOSやWebへの言及はあるものの明確にAndroidアプリとしているのが興味深い。これGoogle側で何とかできないのかなと思う
"公開アプリを悪用した「A2B攻撃」"
バックエンドのAPI設計がガバガバってこと
AndroidはRoot化しなくてもアプリのバイナリを抜けるからな。
A2B攻撃、MoEのLLMモデルみたいな名称だ
ああ、「アプリからの通信だから、通信内容を厳密にチェックしないでもいいだろう」という油断している開発者が大量にいるということか。AI時代で更に穴あきアプリは増えそうなので、状況は悪化する一方に見える。
それぞれの情報漏洩が、どんなAPIが原因だったか気になってきた
webviewだけにするしか対策がない？
“同様の問題はAndroidアプリに限らず、iOSアプリやWebサービスのバックエンドAPIでも発生する可能性があるため、これらを提供する事業者においても注意が必要です”
iOS最強ってことでいいか？やりやすい方からやってるだけだろうけど
「２段階認証構成したから設定して」というメールが届いたりするけど、アプリがある会社からだとそもそも認証漏れのクチがありそうで電話番号とか追加で渡したくないです。
ポイントカードアプリやばいよね
近所のケーキ屋のアプリとかめっちゃ体験悪くて粗雑な作りに見える。そういうとこの個人情報余裕で漏れてそう。でもケーキ屋に対応予算出せって言ってもなあ…やっぱ個々のサービスで個人情報取るんじゃなくてIdPで…
さ
AIで作った粗悪アプリ VS 多重請負が生み出したアプリ
ウェブでいいのになんでもアプリ作るからこうなる。乱造乱発の結果でしょうよ。やめたほうがいい、今すぐでいいよ。無意味なコストかけて脆弱性増やしてたら世話ない。結果的に不利益はユーザが被る事になるし。
ということは、全く未知の脆弱性を突かれたわけでもないのね。
命名「A2B攻撃（App-to-Backend）」／バイブコーディングでノンコードで誰でもアプリつくれちゃうよ！とか能天気でいられないね／Appleの App Store やGoogle Play などのアプリ審査も大変になりそう。
モバイルアプリ向けのapiって権限甘かったりするよね
紙の会員証に戻す企業が増えそうな気がする。つまり印刷業界が儲かるのかも。
「そんなことするやつ居ねーからいいんだよ！」とか言われてたあの頃が懐かしい…
誰でも簡単！ノーコードで自社アプリ！とかそういう類？
PCからは認証必要なのにスマフォからは認証不要で操作できる設計にしてた大手自動車メーカーとかあったからな。
大手ISPがダークウェブを虱潰しに遮断すれば良い。本当はできるけど通信の秘密のため実施できないが、潮時では。
chrome devtoolとかないから、見えないと思っちゃうんだろーな。
Bitwarden使ってるんだけど危ない？
アプリ前提なのはあり得るとしてインターネット公開しているサーバーサイドがそんなザルなことなんてあるのかね
調査コストが下がってる
ちゃんと想像図の悪意のあるハッカーがフードをかぶっているしAIの目が充血している
さもありなん。サーバン側がクライアントを信じた設計なんてしてはいけない。なんとなくコストとデリバリーの文脈から犠牲にされたクオリティの声が聞こえるが。
アプリってつまりつなぎ先のAPIのことだよね？
アプリ開発なんてやっすいエンジニアだからさもありなん。あやしい出会い系(まともな目的ではない)アプリ調べたら通信先は、表ではイケイケな顔してるベンチャーのサーバだったり、という噂も。反社とかも探せそう。
“A2B攻撃では、攻撃者が一般に公開されているAndroidアプリを入手・解析し、アプリが通信するサーバの接続先やAPIなどを調べます。そして、得られた情報をもとに、攻撃対象のサーバに合わせた攻撃を実行”
アプリ配布プラットフォーマーが独自にAIで登録アプリを精査して、バンバンBANしてもらいたい。何でもかんでもアプリにしやがって、邪魔なんだよ。
最も安全な方法。それはwebを脱却し、固定電話とタウンページでしか企業にアクセス出来なくする事です。webを脱却した企業だけが生き残り、デジタル鎖国を成し遂げた国家だけが生き残るでしょう。
非公開APIに甘えた実装も多々あったんだろうなとは
アプリの作りが雑とかの話じゃなくて、エンドポイントはバックエンドなんだからバックエンドのセキュリティの問題でしょ。 まあフロントの都合で雑にAPI増やして温床になるのはそう。
なるほど、納得。いままで雑に作っていても比較的安全だった領域だね
ボクの秘密も解析されたら困るにゃ！悪いハッカーには猫パンチだにゃ！
APIを公開してヘッドレスでも動くようにしてるところは大丈夫なんだろうけど、自社スマホアプリからのAPIアクセスしかないと思い込んでいるところのセキュリティはザルなんだろう。
APIの仕様を外部に公開していなくても、アプリを解析されれば攻撃の手がかりになる。 「公開していないから大丈夫」ではなく、攻撃者に仕様を把握されることを前提に、バックエンドの脆弱性対策を考える必要があると
reactでspaするときと同じはずなのにな
頭いい。感心してしまう。/雑なアプリ作ってる会社は社会悪。滅びてほしい。
たしかに。偽サイトにパスワード入力しちゃうのを防ぐために、アプリ使えみたいなのすげえ増えたもんな
アプリなんて元々解析しほうだいだしされるのは前提だと思っていたけど、AIで力業が使えるようになるまでは実はあまりやる人はいなかったということだろうか。
なんでも専用アプリ使いだしたときはクライアントサーバの時代再びみたいだな～こんな感じで吹っ飛ぶことになるとはなあ
AndroidアプリはJava / Kotlin だからそりゃ解析はされやすいわな。iOSはSwiftで一応ネイティブにコンパイルされるからリバースはしにくい/ Proguard とかみんなちゃんとかけてるのかなぁ
【注意喚起】 相次ぐ情報漏えい、その原因の一つは「アプリ解析からのサーバ攻撃」｜2026年｜NICT-情報通信研究機構
“A2B攻撃”"公開Androidアプリを解析し、得られた情報をもとに接続先の〔バックエンド〕サーバを狙い撃ち"／"手法や主に狙われている脆弱性" "事業者に推奨する「侵害の確認」「脆弱性の点検」「暫定的な緩和策」"
JPCERTの言うAPIに気をつけろってそういうことね。アプリ経由でしか使わない想定のAPIだと油断やチェックがザルというのはありそう。スマホアプリだとAIがコードを丸ごと解析できちゃうし。
「公開アプリを悪用した「A2B攻撃」を特定」「攻撃者は公開Androidアプリを解析し、得られた情報をもとに接続先のサーバを狙い撃ち」「一般には公開していないつもりのサーバの内部仕様が攻撃者に知られ」
あー! そうね。ダサいアプリはAPI叩くための固定クレデンシャルがそのまま埋め込まれてたりするもんな。
名前がついた。この攻撃が特に日本に目立ってるということは、日本のスマホアプリ請負業界にBad Practiceとしてこういう雑な実装が拡がっていたことを意味するのではないかな。とはいえ直ぐに対応しないと。
システムエンジニアとして言うが、これが今起きている原因の大半だとしたら、日本のシステムエンジニアリングはクソみたいな低レベルってことになる。AI以前に金とって仕事するレベルにない。
名前が付いたのは良い。スマホアプリの設計がセキュリティを考慮してないせいで発生しているという事なのだろう。WebサービスのバックエンドAPIは普通インターネット上でやり取りしてないと思うのだがどうだろう
今何でもアプリで囲い込もうとするからやたらとアプリ増えてるよね。雑に作られてるアプリも多そう。
“攻撃者は公開Androidアプリを解析し、得られた情報をもとに接続先のサーバを狙い撃ち”
でかいとこがやられてるのは多重下請けで末端のベンダーに丸投げして上流のベンダーがまともに仕事してない結果じゃないか。
"国内で相次ぐ情報漏えい事案の原因の一つとして、公開Androidアプリの解析結果を悪用し、アプリの接続先サーバの仕様に合わせた攻撃を行う「A2B攻撃（App-to-Backend Attack）」を特定"
AIに投げた方がもっとましな実装にしそう
“一般に公開されているAndroidアプリを解析し、その情報を悪用してアプリの接続先であるバックエンドサーバ※を攻撃する手法を特定しました”
アンドロイドアプリからバックエンドAPIの仕様（エンドポイント、パラメータ）を調べて攻撃する手口でNICTがA2B攻撃と命名した
A2B攻撃
まぁ、そうですよね（予測が当たってちょっと嬉しい） https://b.hatena.ne.jp/entry/4793999182885786786/comment/tohokuaiki ／名前が付くと認識と相互理解が進んでいいですよね。
マクニカさんの推測記事がビンゴかな。割とAIを相棒に分析すれば、現実的にできそうやしな・・・
あ、そうか、難読化ってもう意味をなくしたのかな？
“国内で相次ぐ情報漏えい事案の原因の一つとして、公開アプリを悪用した「A2B攻撃」を特定” “攻撃者は公開Androidアプリを解析し、得られた情報をもとに接続先のサーバを狙い撃ち”
アプリの解析も AI にやらせてるんだろうか
"A2B攻撃では、攻撃者が一般に公開されているAndroidアプリを入手・解析し、アプリが通信するサーバの接続先や通信の仕組み（API）などを調べます。そして、得られた情報をもとに、攻撃対象のサーバに合わせた攻撃を実行"
NICTが公開Androidアプリの解析で接続先サーバーを狙う「A2B攻撃」を特定。iOSやWebのAPIにも注意を促す。AIによる解析効率化で拡大の可能性。侵害確認・脆弱性点検・暫定的な緩和策の3種を推奨し、侵害指標も公開。
守り抜くぞ
“App-to-Backend Attack”
こういうのって脆弱性診断受けてれば防げるもんじゃないの？？？診断すらしてなくて放流されてるAPIばっかりってこと？？
“公開されているAndroidアプリを入手・解析し、アプリが通信するサーバの接続先や通信の仕組み（API）などを調べます。そして、得られた情報をもとに、攻撃対象のサーバに合わせた攻撃を実行します”
割合としてはどうなんだろう。フレームワークをドキュメント通りに使っていれば防げそうなものだが。IDORはやりそうか？
アプリ側もAIを使って難読化をするというエスカレーションは考えられないだろうか？
記事中にiOSやWebへの言及はあるものの明確にAndroidアプリとしているのが興味深い。これGoogle側で何とかできないのかなと思う
"公開アプリを悪用した「A2B攻撃」"
バックエンドのAPI設計がガバガバってこと
AndroidはRoot化しなくてもアプリのバイナリを抜けるからな。
A2B攻撃、MoEのLLMモデルみたいな名称だ
ああ、「アプリからの通信だから、通信内容を厳密にチェックしないでもいいだろう」という油断している開発者が大量にいるということか。AI時代で更に穴あきアプリは増えそうなので、状況は悪化する一方に見える。
それぞれの情報漏洩が、どんなAPIが原因だったか気になってきた
webviewだけにするしか対策がない？
“同様の問題はAndroidアプリに限らず、iOSアプリやWebサービスのバックエンドAPIでも発生する可能性があるため、これらを提供する事業者においても注意が必要です”
iOS最強ってことでいいか？やりやすい方からやってるだけだろうけど
「２段階認証構成したから設定して」というメールが届いたりするけど、アプリがある会社からだとそもそも認証漏れのクチがありそうで電話番号とか追加で渡したくないです。
ポイントカードアプリやばいよね
近所のケーキ屋のアプリとかめっちゃ体験悪くて粗雑な作りに見える。そういうとこの個人情報余裕で漏れてそう。でもケーキ屋に対応予算出せって言ってもなあ…やっぱ個々のサービスで個人情報取るんじゃなくてIdPで…
さ
AIで作った粗悪アプリ VS 多重請負が生み出したアプリ
ウェブでいいのになんでもアプリ作るからこうなる。乱造乱発の結果でしょうよ。やめたほうがいい、今すぐでいいよ。無意味なコストかけて脆弱性増やしてたら世話ない。結果的に不利益はユーザが被る事になるし。
ということは、全く未知の脆弱性を突かれたわけでもないのね。
命名「A2B攻撃（App-to-Backend）」／バイブコーディングでノンコードで誰でもアプリつくれちゃうよ！とか能天気でいられないね／Appleの App Store やGoogle Play などのアプリ審査も大変になりそう。
モバイルアプリ向けのapiって権限甘かったりするよね
紙の会員証に戻す企業が増えそうな気がする。つまり印刷業界が儲かるのかも。
「そんなことするやつ居ねーからいいんだよ！」とか言われてたあの頃が懐かしい…
誰でも簡単！ノーコードで自社アプリ！とかそういう類？
PCからは認証必要なのにスマフォからは認証不要で操作できる設計にしてた大手自動車メーカーとかあったからな。
大手ISPがダークウェブを虱潰しに遮断すれば良い。本当はできるけど通信の秘密のため実施できないが、潮時では。
A2B攻撃
chrome devtoolとかないから、見えないと思っちゃうんだろーな。
Bitwarden使ってるんだけど危ない？
アプリ前提なのはあり得るとしてインターネット公開しているサーバーサイドがそんなザルなことなんてあるのかね
調査コストが下がってる
ちゃんと想像図の悪意のあるハッカーがフードをかぶっているしAIの目が充血している
さもありなん。サーバン側がクライアントを信じた設計なんてしてはいけない。なんとなくコストとデリバリーの文脈から犠牲にされたクオリティの声が聞こえるが。
アプリってつまりつなぎ先のAPIのことだよね？
アプリ開発なんてやっすいエンジニアだからさもありなん。あやしい出会い系(まともな目的ではない)アプリ調べたら通信先は、表ではイケイケな顔してるベンチャーのサーバだったり、という噂も。反社とかも探せそう。
“A2B攻撃では、攻撃者が一般に公開されているAndroidアプリを入手・解析し、アプリが通信するサーバの接続先やAPIなどを調べます。そして、得られた情報をもとに、攻撃対象のサーバに合わせた攻撃を実行”
アプリ配布プラットフォーマーが独自にAIで登録アプリを精査して、バンバンBANしてもらいたい。何でもかんでもアプリにしやがって、邪魔なんだよ。
最も安全な方法。それはwebを脱却し、固定電話とタウンページでしか企業にアクセス出来なくする事です。webを脱却した企業だけが生き残り、デジタル鎖国を成し遂げた国家だけが生き残るでしょう。
非公開APIに甘えた実装も多々あったんだろうなとは
アプリの作りが雑とかの話じゃなくて、エンドポイントはバックエンドなんだからバックエンドのセキュリティの問題でしょ。 まあフロントの都合で雑にAPI増やして温床になるのはそう。
なるほど、納得。いままで雑に作っていても比較的安全だった領域だね
ボクの秘密も解析されたら困るにゃ！悪いハッカーには猫パンチだにゃ！
APIを公開してヘッドレスでも動くようにしてるところは大丈夫なんだろうけど、自社スマホアプリからのAPIアクセスしかないと思い込んでいるところのセキュリティはザルなんだろう。
APIの仕様を外部に公開していなくても、アプリを解析されれば攻撃の手がかりになる。 「公開していないから大丈夫」ではなく、攻撃者に仕様を把握されることを前提に、バックエンドの脆弱性対策を考える必要があると
reactでspaするときと同じはずなのにな
頭いい。感心してしまう。/雑なアプリ作ってる会社は社会悪。滅びてほしい。
たしかに。偽サイトにパスワード入力しちゃうのを防ぐために、アプリ使えみたいなのすげえ増えたもんな
アプリなんて元々解析しほうだいだしされるのは前提だと思っていたけど、AIで力業が使えるようになるまでは実はあまりやる人はいなかったということだろうか。
なんでも専用アプリ使いだしたときはクライアントサーバの時代再びみたいだな～こんな感じで吹っ飛ぶことになるとはなあ
AndroidアプリはJava / Kotlin だからそりゃ解析はされやすいわな。iOSはSwiftで一応ネイティブにコンパイルされるからリバースはしにくい/ Proguard とかみんなちゃんとかけてるのかなぁ