NICT、Androidアプリ解析によるサーバー攻撃が情報漏洩の原因と注意喚起

情報通信研究機構（NICT）は、Android アプリを解析してサーバーを攻撃する手口が情報漏洩の原因になっているとして、注意を喚起した。PC Watch が報じた。

現時点で入手できているのは見出しのみで、被害を受けた組織やアプリの名前、漏洩した情報の種類や件数、攻撃者がアプリから何を読み取ったのかは確認できていない。

Android アプリは配布されたファイルを比較的容易に解析できる。アプリの中に、接続先サーバーの URL や API の呼び出し方、場合によっては認証用の鍵などが含まれていると、攻撃者はそれを手がかりにサーバーへ直接アクセスできてしまう。今回の注意喚起も、こうした仕組みを悪用した攻撃を指しているとみられる。

対策の基本は、アプリは解析されるものという前提で設計することだ。認証用の秘密情報をアプリに埋め込まないこと、サーバー側で利用者ごとの認証と権限の確認を徹底すること、想定外の呼び出しを検知できるようにすることが求められる。