A2B攻撃とは？NICTが警告した情報漏えいの仕組みとスマホへの影響

A2B攻撃とは？NICTが警告、Android・iPhoneへの影響と対策

スマートフォンのアプリを普通に使っているだけなのに、その裏側にあるサーバーが攻撃され、個人情報が漏れることがある。そんな攻撃手法について、国の研究機関が注意を呼びかけています。

2026年10月13日、国立研究開発法人情報通信研究機構（NICT）は、公開されているAndroidアプリを解析し、接続先のサーバーを狙う「A2B攻撃（App-to-Backend Attack）」を特定したと発表しました。

重要なのは、アプリそのものに脆弱性がなくても、サーバー側に弱点があれば攻撃が成立し得るという点です。一方で、Androidを使っている人全員の情報が漏れた、という発表ではありません。

A2B攻撃とは何なのか。iPhoneでも起こるのか。最近の情報漏えい事件との関係は分かっているのか。NICTやJPCERT/CCなどの一次資料をもとに、仕組みと対策を整理します。

A2B攻撃とは？NICTが10月13日に発表した内容

A2B攻撃は、公開アプリから得られる情報を手掛かりに、アプリが通信するバックエンドサーバーを狙う攻撃です。

バックエンドサーバーとは、アプリやWebサービスの裏側でログイン認証、会員情報の管理、注文履歴の処理などを担うサーバーのこと。利用者は普段その存在を意識しませんが、多くのサービスを支える重要な部分です。

NICTの脅威情報分析チーム「LETTICE（レティス）」は、国内で相次ぐ情報漏えい事案の原因の一つとして、公開Androidアプリを解析し、その接続先のサーバーの仕様に合わせて攻撃する手法を確認しました。この手法を「A2B攻撃」と名付け、事業者向けの注意喚起を公表しています。

LETTICEは、NICTのサイバーセキュリティネクサス（CYNEX）で2024年2月に発足した共同分析チームです。今回の発表では攻撃の仕組みに加え、事業者が実施すべき「侵害の確認」「脆弱性の点検」「暫定的な緩和策」の3つが示されました。

なお、A2B攻撃という名称が今回付けられたからといって、アプリやAPIを調べてサーバーの弱点を狙う行為そのものが2026年に初めて生まれたわけではありません。注目すべきなのは、国内の事案を分析するなかで、この攻撃の特徴と対策が具体的に整理されたことです。

発表の原文はNICTの公式プレスリリースで確認できます。

なぜ公開アプリからサーバーを攻撃できるのか

例えば、ネット通販のアプリで「購入履歴」を開いたとき。商品名や注文日時が最初からスマホの中にすべて保存されているとは限りません。アプリがサーバーに情報を問い合わせ、その結果が画面に表示される仕組みになっています。

このやり取りに使われる仕組みが「API」です。アプリがどこへ、どのような情報を要求するかを決める接点と考えると分かりやすいでしょう。

NICTが説明するA2B攻撃の流れは、次のとおりです。

ここで区別したいのは、「通信先やAPIの仕様が分かった」ことと「サーバーから情報を盗めた」ことは別だという点です。

アプリがどのサーバーと通信するかを調べられても、サーバー側が適切に本人確認や権限確認を行い、不正な要求を拒否できれば、それだけで個人情報を取得できるわけではありません。問題となるのは、その防御に悪用可能な不備がある場合です。

アプリ自体が正常でも、情報が漏れる可能性がある

注文履歴の例で考えてみます。

本来、サーバーは「この利用者が、この注文履歴を見る権限を持っているか」を確認する必要があります。ところが、その確認が不十分だと、第三者による不正な要求に対して、別の利用者の情報を返してしまうことがあります。

これは「認可不備」を理解するための仮想例であり、NICTが特定の通販アプリでそのような被害を確認したという意味ではありません。

スマホがウイルスに感染していなくても、正規ストアから入れたアプリであっても、サービスの裏側の安全性は別問題。今回の注意喚起が示しているのは、その見えにくい部分のリスクです。

Androidだけが危険？iPhoneやWebサイトも対象になる？

NICTが今回分析したのは、Androidアプリを手掛かりにサーバーを狙う手法です。ただし、同機構は同様の問題がiOSアプリやWebサービスのバックエンドAPIでも発生する可能性があると説明しています。

攻撃の対象となる弱点がサーバー側にあるなら、端末がAndroidかiPhoneかという違いだけでは安全性を判断できません。例えば両方のアプリが同じバックエンドを使っていれば、そのサーバー側の問題は共通する可能性があります。

これらはA2B攻撃の仕組みから分かることであり、特定のiPhoneアプリに被害があったとNICTが発表した、という意味ではありません。

最近の個人情報漏えい事件もA2B攻撃が原因なのか

2026年秋には、国内で大量の個人情報漏えい、あるいは漏えいのおそれが相次いで報告されています。NICTの発表にも「相次ぐ情報漏えい」という言葉が使われているため、最近の事件がすべてこの手口だったように感じるかもしれません。

しかし、NICTは原因の「一つ」としてA2B攻撃を特定したと発表しています。国内の漏えい事件すべてに共通する原因が判明したわけではありません。

また、10月13日に公表されたNICTのプレスリリースとCYNEXの公開ページには、具体的な被害企業の一覧や、A2B攻撃による個人情報漏えいの総件数は掲載されていません。個別企業の事故との関係は、各社の調査結果などを確認しなければ判断できません。

不正アクセスがあったことと、データが実際に外部へ流出したことも、同じではありません。「漏えいの可能性」「第三者による取得を確認」など発表文の違いは、不正アクセス＝情報流出ではない？「可能性」「確認」「取得」の違いで詳しく解説しています。

NICTより前にJPCERT/CCとIPAも警告していた

関連する注意喚起は、NICTの発表前にも出ています。

JPCERT/CCは10月8日、国内組織で相次ぐ不正アクセスについて注意喚起し、9日に情報を追加しました。報告を受けた攻撃の一つとして、公開スマートフォンアプリを解析してAPIの接続先やキーを特定する手法や、通常の画面操作では実行できない内部APIへの不正な要求を紹介しています。

ただし、JPCERT/CCが取り上げたのはAPI経由の攻撃だけではありません。既知のソフトウェアの脆弱性を狙うものや、Webシェルを設置する事案など、複数の類型が挙げられています。同機関も、すべての事案で同じ攻撃手法が使われたわけではないと明記しています。

10月9日には情報処理推進機構（IPA）も、相次ぐ不正アクセスを受け、事業者に速やかな対策の点検を求めました。NICTだけが単独で警告しているのではなく、複数の専門機関がサーバーやWebシステムの安全性に注意を促している状況です。

NICTが点検を求める4種類の脆弱性

NICTのCYNEX注意喚起では、事業者に重点的な点検を求める項目として、IDOR/BOLA、SSRF、RCE、SQLインジェクションなどが挙げられています。

難しい用語をすべて覚える必要はありません。共通するのは、アプリの通信先が分かった後も、サーバー側が適切な権限確認や入力の検証を行う必要があることです。

なお、この4種類すべてが今回の攻撃で実際に悪用されたとNICTが発表したわけではありません。あくまで、事業者が重点的に点検すべき脆弱性の例です。

AIが個人情報を盗んだ？今回の発表とAIの関係

NICTのプレスリリースには、AIによって脆弱性の探索が高度化するという懸念も示されています。

公開アプリを解析してAPIの仕組みを調べ、サーバーの弱点を探す作業がAIで効率化されれば、攻撃者がより多くのシステムを調べられるようになる可能性があります。NICTが注意を呼びかけているのは、そうした今後の拡大リスクです。

一方、今回の攻撃でAIが実際に使われたと一律に確認されたわけではありません。「AIが国内の大量情報漏えいを起こした」「AIが自動で個人情報を盗んだ」と断定するのは不正確です。

AIが使われるかどうかにかかわらず、公開アプリが解析されることを前提にサーバーを守る。この考え方が今回の注意喚起の中心にあります。

一般利用者は何をすればいい？今すぐアプリ削除は必要？

今回のNICTの注意喚起は、主にアプリを公開する事業者へ向けたものです。発表を見ただけで、すべてのアプリを削除したり、持っているパスワードを一斉に変更したりする必要があるとはいえません。

A2B攻撃が狙うのは主にサービス提供側のサーバーです。利用者がアプリを消しても、そのサーバーの脆弱性を修正することはできません。

では、何もしなくてよいのかというと、そうでもありません。個別の事故が起きた際に適切に対応できるよう、次の点を押さえておくと安心です。

まず、利用サービスの公式発表を確認する

自分が使っているサービスから不正アクセスや情報漏えいが公表された場合は、「自分が対象なのか」「どの情報が対象なのか」「実際の漏えいは確認されたのか」「事業者は何を求めているのか」を確認してください。

不審なメールやSMSで「個人情報が流出したのでログインを」と案内されても、そこに書かれたリンクを安易に開かないこと。公式アプリや自分で開いた公式サイトで、同じ案内が出ているか確かめることが大切です。

パスワードの使い回しをなくし、多要素認証を利用する

これらはA2B攻撃そのものを止める対策ではありませんが、万一認証情報が漏えいした後の二次被害を減らすために有効です。

特に、同じIDとパスワードを複数のサービスで使っていると、一つのサービスから漏れた情報が別のサービスへの不正ログインに利用される可能性があります。詳しい仕組みはパスワードの使い回しで別サービスまで乗っ取られる理由で解説しています。

実際に漏えいの通知を受けたときは、氏名・メールアドレス・パスワード・決済情報など、対象となった情報の種類によって対応が異なります。個人情報が流出したときの対処方法も、必要に応じて確認してください。

スマホのOSやアプリを最新の状態に保つことも一般的な安全対策として重要ですが、今回のようなサーバー側の脆弱性については、利用者側の更新だけで解決できるわけではありません。

企業・アプリ運営者に求められる3つの対策

NICTがAndroidアプリの提供事業者へ推奨している対策は、大きく3つに分かれます。

1．侵害の確認

公開APIやサーバーを洗い出し、不審なアクセスや情報の不正取得がなかったか、アクセスログなどを確認します。アプリが正常に動いていても、裏側で不正な操作が行われていないかの確認は欠かせません。

2．脆弱性の点検

APIの認可不備（IDOR/BOLA）、SSRF、RCE、SQLインジェクションなど、外部から悪用される可能性のある弱点や設定不備を調べます。利用者の画面には見えない管理用の処理であっても、サーバー側で適切にアクセスを制限する必要があります。

3．暫定的な緩和策

必要のないAPIを停止する、アクセスを制限する、監視を強化する、漏えいが疑われる認証情報を無効化・再発行するなど、状況に応じた対応を取ります。

JPCERT/CCも、短時間で大量の要求が送られないようにするレート制限、APIごとの権限確認、APIトークンへの必要最小限の権限付与や有効期限の設定などを推奨しています。

ここで重要なのは、「アプリの内部仕様は外から見えないはず」という前提に頼らないことです。公開アプリが解析されても、不正な操作を受け付けず、必要な情報しか返さない設計が求められます。

なお、NICTは個別システムの診断や改修の相談には対応しないと案内しています。事業者が具体的な調査や修正を進める際は、自社の担当部門、開発・運用の委託先、セキュリティ専門事業者などへの相談が必要です。

被害企業名・流出件数・攻撃者は分かっている？

2026年10月13日に公表されたNICTの公式プレスリリースとCYNEXの公開ページからは、A2B攻撃による具体的な被害企業の一覧、個人情報漏えいの総件数、攻撃者の身元を特定できません。

NICTは攻撃に関連するIoC（侵害指標）を含む事業者向けの詳細資料を案内しています。IoCは不審な通信や侵害の痕跡を調べるための技術情報であり、一般利用者の被害者名簿ではありません。

「どの企業がA2B攻撃を受けたのか」「実際に何人分の情報が流出したのか」は、公開情報だけで推測してよい数字ではありません。個別の事件で攻撃経路が明らかになった場合は、その企業や調査機関の正式発表を確認する必要があります。

まとめ｜A2B攻撃で本当に注意したいこと

A2B攻撃は、公開されているAndroidアプリを解析し、得られた情報を使って接続先のサーバーを狙う手法です。アプリそのものに脆弱性がなくても、サーバー側の権限確認などに不備があれば、不正アクセスや個人情報漏えいにつながるおそれがあります。

一方で、NICTはAndroid利用者全員の情報が流出したとは発表していません。最近の情報漏えい事件をすべてA2B攻撃によるものと結びつけることもできません。

一般利用者は、利用中のサービスで実際に問題が公表されたかを確認し、必要な対応を取ることが基本です。そして、サービスを提供する側には、アプリの通信の仕組みが知られても情報を守れるサーバー設計が求められます。

アプリの画面だけでは見えない「裏側の安全性」。今回のNICTの注意喚起は、その重要性を改めて示しています。