NICT、情報漏えいの一因に「A2B攻撃」。公開アプリ解析で裏のサーバ狙う

NICTが、相次ぐ情報漏えいの一因になっているとして「A2B攻撃」という手口を公表した。

手口の要点は、公開されているアプリを解析して、その裏側にあるサーバを狙うというものだ。スマートフォン向けなどのアプリは、利用者の手元で動くため誰でも入手して中身を調べられる。そこから接続先のサーバのアドレスや通信の仕様、場合によっては認証に使う情報を読み取り、本来はアプリ経由でしか触られない想定のサーバに直接アクセスする、という流れが想定される。NICTが示した具体的な事例や件数、推奨する対策の中身は、今回の材料からは分からない。

この種の攻撃が成り立つのは、「アプリからしか呼ばれない」という前提でサーバ側の認証やアクセス制御が甘くなっている場合とみられる。アプリの中身は攻撃者にも見えるという前提に立ち、サーバ側で守りを完結させる設計が求められる。