公開アプリの解析を悪用した不正アクセスに注意｜総務省注意喚起

1. 公開アプリが狙われる「A2B攻撃」の仕組みとリスク

「A2B攻撃」は、一般に公開されているAndroidアプリを解析（リバースエンジニアリング等）し、得られた接続先や通信の仕組みを悪用してサーバ側の脆弱性を狙う攻撃手法です。国立研究開発法人情報通信研究機構（NICT）が注意喚起を行っており、この手法によって得られた情報を足掛かりに、大量の個人情報を扱う事業者等への不正アクセスや情報漏えい事案が相次いで発生しています。

攻撃者は、公開アプリを解析することで、通常は隠蔽されているサーバへの接続情報やプロトコルの仕様を特定します。このリスクはAndroidアプリ特有のものではなく、iOSアプリやWebサービス全般においても同様に発生する可能性があるため、広範囲なサービスにおいて警戒が必要です。アプリ自体に脆弱性が存在しない場合でも、アプリから得た情報をもとにサーバ側の不備を突かれることで、深刻な被害につながる恐れがあります。

2. アプリのセキュリティ対策だけでは不十分な理由

アプリ自体の堅牢性を高めるだけでは、サーバを標的とした不正アクセスを完全に防ぐことはできません。今回の注意喚起において重要な論点は、アプリ側に脆弱性がなくても、アプリを解析して得られた情報によって「サーバ側の脆弱性」が露呈し、そこが攻撃の突破口になるという点です。

開発者や運用者は、アプリが第三者によって解析されることを前提とした設計・運用を行う必要があります。攻撃者はアプリを解析して通信経路や認証方法を把握し、正規のアプリを介さない形でサーバへ直接攻撃を仕掛けてきます。したがって、アプリ側の制御や難読化といった対策だけに依存せず、バックエンドであるサーバ側において独立したセキュリティ対策を徹底することが、情報漏えいを防ぐための不可欠な要件となります。

3. 自社システムを守るために実施すべき3つの緊急点検

総務省は、情報漏えい事案の発生を踏まえ、以下の3項目を早急に点検・実施することを推奨しています。これらは現状の侵害状況の把握と、今後の被害防止に直結する重要なプロセスです。

• 侵害の確認（アクセスログ等の調査）： 過去および現在のアクセスログを精査し、アプリの解析を端緒とした不自然なリクエストや、不正アクセスの痕跡が残っていないかを確認します。
• 脆弱性の点検（認証・認可やデータベース操作の確認）： サーバ側における認証・認可の仕組みに不備がないか、また、不正なデータベース操作を許容するような入力値検証の漏れがないかを詳細に点検します。
• 緩和策の実施（被害の発生・拡大防止）： 不要なアクセスの制限をかけるなど、攻撃の成立を困難にするための暫定・恒久的な対策を講じ、万が一の際の被害を最小限に抑える体制を整えます。

4. サーバ側での適切な防御と今後の対応策

被害を根絶するためには、サーバ側で「適切な認証・認可」や「入力値の検証」を確実に実施する構成へと見直すことが求められます。アプリからのリクエストを無条件に信頼せず、サーバ側ですべての通信を厳格に検証する設計が根本的な解決策となります。

具体的な注意喚起は、令和8年（2026年）10月9日および13日に総務省より公表されました。公開アプリの解析情報を悪用した攻撃は、大量の個人情報を保有する組織にとって極めて大きな脅威です。事業者は速やかに自社のシステム構成を確認し、解析リスクを考慮したセキュリティ対策を徹底してください。