相次ぐ情報漏えい、原因の一つは「アプリを解析してサーバーを攻撃」 NICTが注意喚起 利用者はパスワードの使い回しをやめて

国の研究機関の情報通信研究機構(NICT)は2026年10月13日、国内で相次ぐ情報漏えいの原因の一つとして、一般に公開されているAndroidのアプリを解析し、アプリがつながる先のサーバーを攻撃する手口を特定したと発表した。「A2B攻撃(App-to-Backend Attack)」と名づけ、アプリを出す会社に注意を呼びかけている。

A2B攻撃とは

スマホのアプリの多くは、ログインや会員の情報の管理を、アプリの裏側にある会社のサーバー(バックエンドサーバー)に任せている。アプリとサーバーは「API」という決まった窓口を通じて情報をやり取りする。

NICTによると、A2B攻撃は次のように進む。

1. 攻撃者が、誰でもダウンロードできるAndroidのアプリを入手して、中身を解析する
2. アプリがどのサーバーとつながっていて、どんな決まりで情報をやり取りしているかを調べる
3. 調べた仕組みに合わせて、サーバーの弱点をピンポイントで攻撃する

アプリ自体に弱点が無くても、サーバーの側でログインの確認や、誰がどの情報を見てよいかの管理、入力された値のチェックなどに不備があれば、不正アクセスや個人情報の漏えいにつながる。会社から見ると、外に見せていないつもりだったサーバーの中の仕組みを、アプリから読み取られてしまうことになる。

お店の商品(アプリ)の箱に、裏の倉庫(サーバー)の住所と合いかぎの形が小さく書いてあって、それを読んだ泥棒が倉庫の弱い扉を狙う、というようなものだ(TECHNOVAの見方)。

なぜ今、広がっているのか

NICTは、AIを使うことで、アプリの解析や弱点探しが効率よくできるようになり、こうした攻撃がより多くのシステムに広がるおそれがあると指摘している。同じ問題は、Androidのアプリに限らず、iPhoneのアプリやウェブのサービスの裏側のAPIでも起こりうるという。

国内では、10月だけでも、ブックオフ、Joshin、ゲオなど、身近な企業の不正アクセスの発表が続いている。ただ、NICTはどの事案がA2B攻撃によるものかは示しておらず、個々の事案の原因は、それぞれの会社の調査の結果を待つ必要がある。

会社に勧める3つの対策

NICTは、Androidのアプリを公開する会社に、次の3つを勧めている。

NICTは「公開アプリが解析されることを前提に、バックエンドサーバの安全性を確保することが重要」としている。

利用者にできること

会社のサーバーの弱点は、利用者には直せない。それでも、漏れたときの被害を小さくすることはできる。INTERNET Watchの特集は、いちばんの対策として「パスワードの使い回し」をやめるよう呼びかけている。

• パスワードを使い回さない: あるサービスでメールアドレスとパスワードが漏れると、同じ組み合わせを使っているネット通販や、会社・学校のアカウントにまで入られるおそれがある
• 多要素認証やパスキーを使う: 使えるサービスでは設定しておくと、パスワードが漏れても入られにくい
• メールやSMSのリンクを開かない: 漏れた情報を使った詐欺のメールやSMSが増える。よく使うサービスはブックマークや公式アプリから開く
• パスワード管理のアプリを使う: サービスごとに違うパスワードを覚えるのは大変なので、管理のアプリに任せるとよい(TECHNOVAの見方)

かんたんに言うと

攻撃者は、誰でも手に入るアプリを分解して、会社のサーバーの入り口を調べ、弱いところを狙っている。AIでこの作業が楽になり、漏えいが続く一因になっている。利用者は、パスワードの使い回しをやめるだけでも、被害の広がりを大きく減らせる。

まとめ

NICTは、相次ぐ情報漏えいの原因の一つとして、アプリを解析してサーバーを狙う「A2B攻撃」を特定し、アプリを出す会社に点検を呼びかけた。会社の側の対策には時間がかかるかもしれない。利用者は、パスワードの使い回しをやめ、多要素認証やパスキーを使うことで、自分の身を守りたい。