スマートフォンのアプリは、攻撃者が企業のサーバーを狙う際の手掛かりにもなる。2026年10月、国立研究開発法人情報通信研究機構（NICT）とJPCERTコーディネーションセンター（JPCERT/CC）は、相次ぐ情報漏えい事案に関連する攻撃手法や調査結果を公表した。
相次ぐ情報漏えいへの注意喚起
NICTは10月13日、公開されたAndroidアプリを解析し、接続先のサーバーを攻撃する手法を「A2B攻撃（App-to-Backend Attack）」と名付け、注意を呼びかけた。攻撃者はアプリを調べ、サーバーの接続先や、アプリとサーバーが情報をやり取りする仕組み「API」などを特定して攻撃を試みる。サーバー側に弱点があれば、情報漏えいにつながる恐れがある。この手法はiOSアプリやWebサービスでも起こり得るという。
またJPCERT/CCは10月15日、攻撃に使われた可能性のあるサーバーを調査した結果を公表した。Androidアプリの解析ツールに関連するファイルのほか、APIにSSRF（サーバーサイド・リクエスト・フォージェリ）などの脆弱性がないか調べていたとみられる痕跡が見つかった。SSRFとは、外部からのリクエストを受けたサーバーに、攻撃者が意図した別のサーバー等へアクセスさせる脆弱性のこと。また、攻撃者がAIを利用して既知の脆弱性をスキャンし、API経由の攻撃を行っていたことも確認した。ただし、AIの具体的な利用方法や、未知の脆弱性を発見したかどうかは明らかにされていない。
事業者に求められるサーバー側の安全対策
情報処理推進機構（IPA）も10月9日、相次ぐ情報漏えいを受け、企業に外部公開システムの点検や修正プログラムの適用、アカウント管理の見直しなどを求めた。アプリの解析を防ぐことは難しく、事業者にはサーバー側での認証やアクセス権限の適切な管理が欠かせない。利用者もOSやアプリを最新の状態に保ち、信頼できる提供元からアプリを入手することが大切だ。
しかし、利用者側の対策だけでは防げない攻撃もある。だからこそ事業者には、システムの弱点の点検や不審なアクセスの監視を継続し、利用者の個人情報を守るための安全対策を確実に講じることで、その信頼に応えることが求められる。
（画像はイメージ）