【解説】NICTがA2B攻撃を命名｜アプリ解析でサーバを狙う手口

公開されたAndroidアプリを解析し、その情報でサーバを狙う攻撃について、NICTが注意喚起しました。アプリを公開している事業者は点検が必要です。

10月13日 NICTが命名

2026年10月13日、NICTの分析チームが、この手口をA2B攻撃と名付けました。攻撃者はGoogle Playのアプリを解析し、接続先やAPIの仕様を集めます。そのうえで、サーバごとに攻撃の中身を変えて送ってきます。

狙われる脆弱性は4種

今わかっているのは、狙われるのがサーバ側の4種の脆弱性だということです。被害の件数が大きくなりやすいのは、会員IDを書き換えると他人の情報が取れてしまう不備です。ログイン後に使うAPIも標的になります。

NICTが求める3対策

NICTは、侵害の確認、脆弱性の点検、暫定的な緩和策の3つを早急に行うよう求めています。まず自社のアプリから見える接続先を一覧にします。次に、アクセスログで連番IDの総なめが無いかを調べます。

点検に使うコマンドや設定の例は、記事のほうで詳しく紹介しています。