攻撃者はAIでアプリを解析していた - JPCERT/CCが不正アクセスの手口を公表

JPCERT/CCは10月15日、国内で相次いで公表された不正アクセスによる情報漏えい事案について、攻撃者が利用したとみられるインフラの調査結果を公表した。調査の過程で、攻撃者がAIを利用して既知の脆弱性のスキャンやAPI経由の攻撃を実施していたことを確認したという。

アプリ解析からAPI攻撃へ、不正アクセスの実態

同組織は2026年10月8日に注意喚起を公開しており、その後も複数の組織と連携して攻撃インフラの調査を継続している。今回の分析では、日本だけでなく海外向けのWebサービスも同様の攻撃対象となっていたことが判明した。

調査では、攻撃者がAndroidアプリケーションの配布ファイル(APK)を解析し、アプリが利用するAPIを特定したうえで攻撃していた痕跡を確認した。

攻撃者の調査サーバでは複数のAPKファイルが確認された

攻撃元サーバには各種APKファイルが保存されていたほか、APIに対するSSRF(Server-Side Request Forgery)の脆弱性検証を実施したとみられるPythonスクリプトも存在していたという。

SSRF検証に利用されたとみられるPythonスクリプト

さらに別の調査対象サーバでは、Flutterアプリケーションの解析に利用される「Blutter」やAndroidアプリケーション解析ツール「jadx」に関連するファイルも確認された。APK展開用ディレクトリや、ネイティブライブラリから抽出した文字列の保存を示唆するファイルも存在していた。

SSRF検証に利用されたとみられるPythonスクリプト

JPCERT/CCは、Flutterアプリケーションに含まれるAOTコンパイル済みコードについても、専用ツールを用いたリバースエンジニアリングによって内部構造やAPI通信処理を解析できる可能性があると説明している。

Webサービスだけでなくネットワーク侵入も試行

今回の攻撃とは直接関連しないものの、別の調査対象サーバではWebアプリケーションだけでなく、MySQL、Jenkins、メールゲートウェイなどを標的とした攻撃ツールも確認された。

調査ではEDR(Endpoint Detection and Response)回避を試みた痕跡や、侵入先ネットワーク内に設置されたとみられるWebシェルも発見されている。これらの状況から、攻撃者はWebサービスへの攻撃にとどまらず、ネットワーク内部への侵入や権限拡大も視野に入れて活動していたとみられる。