アプリが正常でもサーバーは別　NICTがA2B攻撃に注意喚起

自社のアプリがいつもどおり動いていても、接続先のサーバーまで安全だとは限らない。情報通信研究機構（NICT）は10月13日、公開Androidアプリを解析して得た情報を使い、裏側のサーバーを攻撃する手法を確認したと発表した。会員向けアプリや業務システムを提供する国内の事業者にとって、画面の動作確認とは別の点検が必要になっている。

NICTの脅威情報分析チームLETTICEは、この手法を「A2B攻撃（App-to-Backend Attack）」と名付けた。国内で相次ぐ情報漏えいの原因の一つとして示したもので、すべての事案が同じ手法によるという発表ではない。特定の利用者のスマートフォンが感染したという意味でもない。

狙われるのはアプリの裏側

アプリとサーバーが情報をやり取りする窓口をAPIという。攻撃者は、一般に公開されたアプリを調べ、接続先や通信の仕組みを把握したうえで、そのサーバーに合わせた攻撃を行う。

NICTの説明で重要なのは、アプリ自体に脆弱性がなくても問題が起こり得る点だ。サーバー側で、誰からの要求かを確かめる「認証」、その利用者に何を許すかを決める「認可」、受け取った値の検証などに不備があれば、不正アクセスや情報漏えいにつながるおそれがある。

アプリの画面に管理用のボタンを出していないことと、サーバーが管理操作を拒むことは別だ。JPCERT/CCの注意喚起にも、公開アプリの解析や、本来は画面操作で実行できない内部APIへの攻撃が報告されている。「画面からは使えないから安全」という前提を置かず、サーバー側の権限設定を確認したい。

まず、誰がどのログを見られるか

NICTは事業者に、侵害の確認、脆弱性の点検、暫定的な緩和策を求めている。最初の作業は、公開しているAPIやサーバーを洗い出し、アクセスログなどに不審な通信や情報の不正取得がないかを確認することだ。

開発を外部に委託している場合も、アプリの納品物だけでなく、接続先の運用を誰が担っているかを整理する必要がある。IPAが10月9日に公表した点検事項は、サービスによってログの保有期間が異なり、提供者と利用者で見られるログも違う可能性を指摘している。

担当者は、ログの保存期間、確認できる人、調査を依頼する窓口を一緒に確かめたい。IPAは、ログイン失敗の量、接続元や時刻などを普段の状態と比較することに加え、作成した覚えのないアカウントや、無効化したはずなのに有効になっているアカウントの確認も求めている。見える範囲に異常がないことだけで、調査を終えないための整理だ。

権限を絞り、不要な接続口を残さない

JPCERT/CCは、非公開のものを含む各APIでアクセス制御を行い、利用者や認証用トークンに必要最小限の権限だけを与えるよう勧めている。トークンは、アクセスの資格を示す情報だ。有効期限を適切に設定し、不要になったものや漏えいが疑われるものを速やかに無効化できる運用も確認事項になる。

NICTが挙げる暫定策には、不要なAPIの停止、アクセス制限、監視の強化、認証情報の無効化・再発行がある。ただし、停止や再発行の対象を誤れば通常の業務にも影響する。個別の設定は、社内の担当者や開発・運用の委託先、専門事業者と確認して進める。暫定策を入れただけで、脆弱性の修正や侵害調査まで済んだことにはならない。

IPAは、異常なログやアカウントを発見した場合、速やかにインシデントとして対応し、情報漏えいの可能性を考慮して専門のセキュリティ事業者に詳細調査を依頼することを強く推奨している。利用者向けの案内と、内部の調査・復旧を混同しないことも大切だ。

Androidだけの問題と決めつけない

NICTは、同様の問題がiOSアプリやWebサービスのバックエンドAPIでも起こり得るとしている。一方、今回の注意喚起は、すべてのAndroidアプリに欠陥があるという意味ではない。利用者全員にアプリの削除を求める発表でもない。

事業者に必要なのは、アプリが解析されることを前提に、接続先が不正な要求を拒めるかを確かめることだ。「最新版を配布したか」に加え、「どのAPIを公開し、誰に何を許し、異常をどの記録で確かめるか」。この点検まで、開発・運用の分担に含めたい。