エーアイセキュリティラボは10月26日、Androidアプリの解析を起点としてバックエンドサーバを狙う「A2B攻撃（App-to-Backend Attack）」に特化したセキュリティ診断ツールの提供を開始したと発表した。アプリから得られるAPIエンドポイントを手掛かりに、バックエンドの認証・認可や設定、入力値検証の不備などを調査するという。

Androidアプリからバックエンドの攻撃対象を探索

A2B攻撃は、一般公開されているAndroidアプリの解析結果を悪用し、連携するバックエンドサーバのAPIなどを直接狙う攻撃である。アプリ自体に脆弱性がない場合でも、バックエンド側の認証・認可不備や設定ミスを突かれ、個人情報の漏えいや不正アクセスにつながる可能性がある。

  • A2B攻撃

    A2B攻撃の流れ

今回提供を開始した診断ツールでは、Androidアプリの解析によって得られるAPIエンドポイントを基に、バックエンドサーバに潜む認証不備や設定ミス、入力値検証の不備などを特定するという。

さらに、LLMを活用し、攻撃者による脆弱性探索のプロセスを想定して調査。ログインフローや認証迂回のリスクなどについて、ペネトレーション的なアプローチで評価するとしている。

診断に当たって複雑な環境設定やシナリオ作成は必要なく、アプリファイルを用意するだけでA2B攻撃のリスクを検証できるという。