會原 
最近、世界的なサイバー攻撃が発生し、日本国内でも多数の会社が情報漏洩の発生を発表しています。どうのように攻撃しているのか、その手法の一つが明らかとなりました。
情報通信研究機構（NICT）は10月13日、一般に公開されているAndroidアプリを解析し、その情報をもとに接続先サーバを攻撃する手法を特定したと発表しました。
NICTの脅威情報分析チームはこの手法を「A2B攻撃（App-to-Backend Attack）」と名付けて注意喚起を公表。総務省も同日、これを受けて事業者や関係団体に必要なセキュリティ対策の徹底を呼びかけています。
これは攻撃者が公開アプリを入手して解析し、通信先サーバやAPIの仕様を調べたうえで攻撃を実行。アプリ自体に脆弱性がなくても、サーバ側の認証・認可や入力値の検証などに不備があれば、不正アクセスや個人情報の漏えいにつながるおそれがあるとのことです。
同様の問題はAndroidアプリに限らず、iOSアプリやWebサービスでも起こりうるとのこと。NICTは、AIの活用でアプリの解析や脆弱性の発見が効率化され、こうした攻撃がより多くのシステムへ広がる可能性にも注意を促しています。
アプリを公開する事業者に向けては、アクセスログから不審な通信や情報の不正取得を調べる「侵害の確認」、APIの認可不備やSQLインジェクションなどを重点的に洗う「脆弱性の点検」、不要なAPIの停止やアクセス制限、監視強化といった「暫定的な緩和策」を推奨。
総務省も、アプリ側の制御だけに頼らず、利用者側からの通信は信頼できるとは限らない前提でサーバ側の対策を行うことが重要だとしています。
総務省は10月9日にも、大量の個人情報を扱う事業者のシステムへの不正アクセスで情報流出が相次いでいるとして、内閣官房国家サイバー統括室の注意喚起を受け、所管事業者と関係団体に対策の徹底を呼びかけていました。今回はその原因の一つについて、具体的な手口が示された格好です。
AIで解析の手間が下がっている昨今、利用者がいくら気をつけても防げない問題だけに、事業者側には速やかな総点検を願うばかりです。
