App-to-Backend Attack（別名:A2B攻撃、エーツービーこうげき）は、一般に公開されているアプリケーションを解析し、その情報を悪用して接続先であるバックエンドサーバを攻撃する手法である。

攻撃者はスマートフォン向け基本ソフトであるAndroidなどの公開アプリを入手して解析し、通信するサーバの接続先や通信の仕組み（API）などを特定する。その後、得られた情報をもとにサーバの仕様に合わせた攻撃を実行する。2026年10月に情報通信研究機構（NICT）の脅威情報分析チームである「LETTICE」によって、国内で相次ぐ情報漏えい事案の原因の一つとして特定、命名された。

アプリ自体に脆弱性が存在しなくても、接続先のバックエンドサーバに不備があれば不正アクセスや個人情報の漏えいにつながるおそれがある。人工知能（AI）の悪用により解析が効率化され、より多くのシステムへ被害が拡大することが懸念されている。

概要 2026年9月頃から、国内の企業などで大量の個人情報漏えい事案が相次いだ。2024年2月にNICTで発足した脅威情報の共同分析チームであるLETTICEが独自の調査および分析を行った。その結果、公開Androidアプリの解析結果を悪用して接続先サーバを狙う手法の存在が明らかとなった。

攻撃者は以下の手順で対象のシステムを侵害する。

一般に公開されているアプリを入手し、解析を行う。 アプリが通信するバックエンドサーバの接続先や通信の仕組みを調べる。 判明した内部仕様の情報を利用し、バックエンドサーバの認証・認可や不適切な入力検証などの脆弱性を攻撃し、目的の情報を得る。

バックエンドサーバはログイン認証や利用者情報の管理などを行っているため、ここを侵害されると甚大な被害が生じる。アプリを提供する事業者側から見れば、外部には非公開であるはずのサーバの内部仕様がアプリの解析によって攻撃者に把握されてしまう点が特徴である。

影響と対策 NICTは、この攻撃手法がAndroidアプリのみに限定されるものではないと警告している。iOSアプリやWebサービスのバックエンドAPIでも同様の手法によって被害を受ける可能性があり、それらを提供する事業者にも注意を呼びかけている。

さらに、AIを活用することでアプリの解析作業や脆弱性の発見プロセスが効率化されるため、攻撃が想定よりも多数のシステムに波及する危険性も指摘されている。

対策として、NICTはAndroidアプリを公開する事業者に向けて以下の3種の推奨対策を注意喚起として公表している。

侵害の確認 脆弱性の点検 暫定的な緩和策

あわせて、攻撃に関連する侵害指標の情報も提供している。

脚注

関連項目

個人情報漏えい フロントエンドバックエンド 不適切な入力検証