スマホアプリ解析でサーバーを攻撃、NICTが事業者に注意喚起

　情報通信研究機構（NICT）の脅威情報分析チーム「LETTICE」（レティス）は13日、国内で相次ぐ情報漏洩事案の原因のひとつとして、一般公開されているAndroidアプリを解析して接続先のバックエンドサーバーを狙う「A2B攻撃」（App-to-Backend Attack）を特定したとして、注意を呼びかけている。

　A2B攻撃は、攻撃者が公開されているAndroidアプリを入手して解析し、APIの接続先や通信の仕様を調べた上で、対象サーバーに合わせて攻撃を実行する手法。事業者側が非公開としている内部仕様を把握され、弱点をピンポイントで狙われることで、個人情報の大量漏洩につながる恐れがある。同様の問題はAndroidアプリに限らず、iOSアプリやWebサービスのバックエンドAPIでも発生する可能性があるほか、AIの活用によって解析や脆弱性探索が効率化され、攻撃が広がる懸念も示されている。

　今回確認された攻撃では、主に4種類の脆弱性が探索や悪用の対象とされた。意図しない内部通信を行わせる「SSRF」や不正なコマンドを実行できる「RCE」、データベースに不正処理を行わせる「SQLインジェクション」、アクセス権限の不備により他者のデータに不正アクセスできる「IDOR（認可不備）」の4点となる。アプリ自体に脆弱性が存在しなくても、バックエンドサーバーのAPIに認証・認可や入力値検証の不備があれば被害が生じるという。

　LETTICEは、Androidアプリを公開する事業者に向け「侵害の確認」「脆弱性の点検」「暫定的な緩和策」の3種の対策を推奨している。侵害の確認では、8月以降のアクセスログや認証ログなどを点検し、IoC（侵害指標）との一致や通常と異なるAPI操作の有無を調査するよう求めている。脆弱性の点検では、認可や認証の不備、各種インジェクション、クラウドサービスの設定などを優先して点検することを促している。暫定的な緩和策としては、国外など不要なアクセス元の制限、不要な公開APIの停止、レート制限やWAFによるアクセス制御、認証情報の無効化や再発行などを挙げている。

　恒久的な対策として、攻撃者がアプリを介さずにAPIを直接操作できることを踏まえ、アプリ側の制御のみに依存せず、バックエンドサーバー側で適切な認証・認可や入力値検証を行う設計・運用が重要であるとしている。