アプリを解析してサーバーを狙う「A2B攻撃」とは——NICTが国内の情報漏えいの原因の一つと発表
2026年10月13日、情報通信研究機構（NICT）が、国内で相次いでいる情報漏えいの原因の一つとして「A2B攻撃」という手口を特定したと発表しました。A2B は「App to Backend」の略で、公開されているスマホアプリを解析して、その裏にあるサーバーを狙う攻撃です。
アプリそのものに欠陥がなくても、通信先のサーバーに弱いところがあれば情報が抜き取られます。自社でアプリを出している会社や、アプリの開発を外部に任せている会社に向けて、仕組みと確認したいことを整理します。
A2B攻撃とは
項目 | 内容 |
|---|---|
発表 | 2026年10月13日、NICT（サイバー攻撃の分析を行うチーム「LETTICE」） |
名前 | A2B攻撃（App-to-Backend Attack） |
手口 | 誰でも入手できる Android アプリを解析し、アプリが通信するサーバーの接続先や通信の仕組み（API）を調べたうえで、そのサーバーに合わせた攻撃をする |
位置づけ | 最近の国内の情報漏えいの原因の一つ |
今後の懸念 | AIを使うとアプリの解析や弱点探しが効率よくでき、被害が広がるおそれがある |
対象 | Android アプリだけでなく、iPhone アプリや Web サービスのサーバーにも同じような危険がある |
なぜアプリから狙われるのか
スマホアプリは、画面の裏でサーバーと通信して、会員情報や注文履歴などを取り出しています。アプリは誰でもダウンロードできるため、攻撃する側はアプリの中身を調べて、「どのサーバーに、どんな形で問い合わせれば情報が返ってくるか」を知ることができます。
- 本来は本人の情報だけを返すはずの仕組みが、番号を変えるだけで他人の情報も返してしまう（認可の不備）
- アプリの中に、サーバーに入るための鍵（認証情報）がそのまま書かれている
- 使っていない古い問い合わせ口が、止められずに残っている
- 短い時間に大量の問い合わせが来ても、止める仕組みがない
最近の大規模な漏えいでも、ソースネクストで会員情報を取り出す仕組み（API）が悪用され、ローソンIDでは本人にだけ情報を表示する仕組みが突破されるなど、似た事例が続いています（いずれもA2B攻撃かどうかは発表されていません）。アプリを入口にした攻撃は、ログイン画面を破らなくても情報を大量に取り出せるのが特徴です。
NICTが勧める3つの対策
NICTは、Android アプリを公開している事業者に、次の3つを早急に行うよう求めています。
1. 侵害されていないかを確認する
サーバーのアクセス記録（ログ）を見て、普段と違う大量の問い合わせや、見覚えのない接続元がないかを確認します。
2. サーバー側の弱点を点検する
アプリから使われる問い合わせ口（API）について、他人の情報が取れてしまわないか、外から余計な操作ができないかを点検します。専門家による診断も選択肢です（Webサイトの脆弱性診断って何をするの？）。
3. すぐできる守りを入れる
- 使っていない問い合わせ口を止める
- 接続できる相手や回数を制限する（レート制限）
- アプリに入っている鍵（認証情報）を作り直す
アプリを外注している会社が確認したいこと
中小企業では、アプリやサーバーを制作会社に任せていて、中身を誰も把握していないことが少なくありません。次の点を、制作会社や保守会社に聞いてみてください。
- アプリが通信しているサーバーと API の一覧はあるか。使っていないものは止めているか
- アプリの中に、サーバーの鍵やパスワードが書かれていないか
- アクセス記録は残っているか。最近、不審なアクセスはないか
- 保守契約に、こうした注意喚起が出たときの点検が含まれているか
まとめ：アプリの裏のサーバーまで点検する
- A2B攻撃は、公開アプリを解析して裏のサーバーを狙う手口。NICTが国内の情報漏えいの原因の一つとして特定した
- アプリに欠陥がなくても、サーバー側の認可の不備や放置された問い合わせ口から情報が抜かれる
- ログの確認、API の点検、使っていない口の停止と回数制限から始める
「自社アプリのサーバーがどうなっているか分からない」「制作会社に何を聞けばいいか分からない」という会社は、BULLCOM Securityにご相談ください（法人向けサービス）。まずはLINEでお気軽にどうぞ（無料）。
参考：NICT「【注意喚起】相次ぐ情報漏えい、その原因の一つは「アプリ解析からのサーバ攻撃」」（2026年10月13日）、@IT
