A2B ATTACK
A2B攻撃対策：
公開アプリを入口に、
サーバーを狙わせない
A2B攻撃（App-to-Backend Attack）は、公開されているアプリを解析し、接続先のサーバー（API）を攻撃する手法です。対策は、サーバー側の点検と、攻撃の入口になるアプリの保護をセットで進めます。
A2B攻撃とは
A2B攻撃は、NICT（情報通信研究機構）が2026年10月に名付けた攻撃手法です。スマホアプリは、裏側のサーバーとAPIで情報をやり取りして動いています。攻撃者は、誰でも入手できる公開アプリを解析してAPIの接続先や仕様を調べ、そのサーバーに合わせた攻撃を行います。アプリ自体に脆弱性がなくても、サーバー側の認証・認可や入力値の検証に不備があれば、不正アクセスや個人情報の漏えいにつながるおそれがあります。AIの活用でアプリの解析や脆弱性の探索が効率化され、攻撃がより多くのシステムに及ぶ可能性も指摘されています。
アプリ側・サーバー側のどちらか一方では守りきれない理由
NICTは、公開アプリは解析される前提で、サーバーの安全性を確保することが重要だとしています。対策の中心はサーバー側の点検です。一方で、アプリは攻撃者にとって、サーバーへの道筋を調べる手掛かりになります。アプリを解析されにくくし、アプリに鍵を埋め込まないことで、攻撃の入口を狭められます。サーバーの点検と、入口になるアプリの保護をセットで進める必要があります。
事前に確認する5つのポイント
- 1公開しているアプリと、接続先のAPIを洗い出し、アクセスログから不審なアクセスや情報の不正取得がないか確認する。
- 2APIの認可の不備や、入力値の検証を点検する。
- 3アプリを解析されにくくする（難読化・改ざん検知・実行時保護）。
- 4アプリに鍵や認証情報を埋め込まず、漏えいした場合にすぐ無効化・再発行できるようにする。
- 5不正利用の兆候を監視し、対応の手順を決めておく。
サーバー側の点検は、自社の開発・運用で行う
サーバー側の対策の多くは、製品を入れることではなく、自社の開発・運用で行う作業です。NICTは、APIの認可の不備（他人のIDを指定して情報を取得できてしまうものなど）、SSRF、SQLインジェクションなどの脆弱性や設定の不備を重点的に点検するよう呼びかけています。併せて、不要なAPIの停止、アクセス制限、監視の強化、認証情報の無効化・再発行といった暫定的な対策も挙げています。
入口を固める製品の役割と限界
Digital.ai Arxan Securityは、コードの難読化、改ざん・脅威の検知、実行時保護により、アプリを解析されにくくします。1Passwordは、開発で使う鍵やシークレットを管理し、アプリに鍵を埋め込まずに済む仕組みをつくります。ただし、既に配布したアプリの中に入っている鍵は守れません。いずれの製品も、サーバー側の認可や入力値の検証の不備を直すものではありません。APIへの不正なリクエストの監視を製品で補う場合は、Wallarmも選択肢になります。
経営判断で必要な情報
対象となるアプリと接続先のサーバーの重要度、情報漏えいや不正利用が起きた場合の顧客・事業への影響、アプリのリリースや更新の体制に保護をどう組み込むかを事前に整理します。具体的な対応方法は、アプリの種類や配布形態、サーバーの構成によって異なります。
デジタルアクセルズで相談できること
対象アプリの種類、接続先のAPI、配布形態、求めるセキュリティー要件を確認し、Digital.ai Arxan Securityや1Passwordの適合性と、サーバー側の点検で補うべき領域を整理します。提供可能なサービスやサポート範囲は、担当者が確認のうえご案内します。
関連する製品と担う範囲
実際の適用可否は、要件・ライセンス・対応範囲を確認したうえで判断します。
よくある質問
WAFを入れていれば十分ですか？
WAFはサーバーへの攻撃の一部を防ぎますが、形の正しいリクエストを使った不正（他人のIDを指定して情報を取得するなど）は見分けにくく、アプリの解析も止められません。サーバー側の認可の点検と、アプリの保護を組み合わせる必要があります。
Digital.ai Arxan Securityだけで防げますか？
アプリを解析されにくくする重要な対策ですが、攻撃の標的はサーバーです。サーバー側の認可や入力値の検証の点検と併せて進める必要があります。
自社のアプリも対象になりますか？
一般に公開しているアプリは、解析される前提で考える必要があります。NICTの注意喚起はAndroidアプリを手掛かりにした事例ですが、公開アプリと接続先のAPIを洗い出し、点検することから始めます。
A2B攻撃対策について相談する
この窓口は製品選定・導入検討に関する相談窓口です。24時間の緊急インシデント対応、復旧代行、監視サービスの提供を保証するものではありません。製品名が決まっていなくてもご相談いただけます。
相談を申し込む