# オープニング #気になるニュース どうもー セキュリティ直起の松戸です。 6回目のセキュリティ会社企業を目指して サイバーセキュリティの最新ニュースについて解説しております。 ということでね、今日は気になるニュースに関する話なんですけども やはりというかですね、セキュラティはセキュリティ界隈の放送でございますので 最近起きている情報漏洩インシデントですね。毎日ように発生しています。 こちらの方が気になるニュースということになります。 もちろんですね、気になっているだけではセキュラティとしての役割を果たせておりませんので 毎回ですね、その内容について解説をさせていただいているわけなんですけども 特にですね、チャプター3を聞いていただきますと その日のニュースに対してより深掘った解説をですね どちらかというと僕独自の観点でさせていただいております。 世にある情報もですね、収集している。これはメインのですね、記事解説でやらさせていただいているんですけれども 少しそういった公開情報ではなくてですね 恥ずかしながらこの業界で長年、二十数年ですね、やらさせていただいております。 僕自身の独自の見解もですね、何か皆さんのお役に立てないかなというふうに思っておりますので 独自の見解ということで、一つご参考になればというところでお話をさせていただいております。 かれこれ10月9日、先週ぐらいかな。 ちょっと深掘った独自の見解を述べさせていただいたところからですね 連続で今日に至るまで配信をさせていただいておりますので よかったらですね、まだ聞かれていない方はですね せめてチャプター3だけでもですね、聞いていただけますと もしかしたらですね、現状のインシデントを乗り切るきっかけになれるかもしれません。 ということで今回は 相次いでいる情報漏洩事件の背後に潜む新しい攻撃手法について取り上げております。 この放送を通じてリスナーの皆さんは A to B攻撃の仕組みやアプリを提供する企業が取るべき具体的な対策について 理解を深めていただければと思います。 それではどうぞ。 # 【注意喚起】 相次ぐ情報漏えい、その原因の一つは「アプリ解析からのサーバ攻撃」 〜AIで高度化する脆弱性探索、Androidアプリを手掛かりにしたA2B攻撃に注意〜 相次ぐ情報漏洩、その原因の一つはアプリ解析からのサーバー攻撃 AIで高度化する脆弱性探索 Androidアプリを手掛かりにしたA2B攻撃に注意。NICTの脅威情報分析チームレティスは、 国内で相次ぐ情報漏洩事案の原因の一つとして、公開Androidアプリを解析して バックエンドサーバーを攻撃するA2B攻撃を特定し、 事業者に向けた3種の推奨対策をまとめた注意喚起を公表しました。 こちらの記事を簡単に解説お願いできますでしょうか。 はい、今回の注意喚起はNICTの脅威情報分析チームであるレティスが公表したものです。 国内で個人情報などの大量漏洩が相次いでいますが、 その原因の一つとしてA2B攻撃という手法が使われていることが分かりました。 この攻撃は、一般に公開されているAndroidなどのアプリを攻撃者がダウンロードして解析し、 そのアプリが裏柄で通信しているサーバーの接続先やAPIと呼ばれる通信の仕組みを調べ上げます。 そして、得られた情報を基にサーバーの弱点をピンポイントで狙い撃ちにするのです。 サーバーに脆弱性があると、そこから個人情報が盗み出されてしまいます。 AIによって解析が効率化され、被害が拡大する恐れがあるため、 侵害の確認や脆弱性の点検といった対策が呼びかけられています。 A2B攻撃という言葉を初めて聞きました。 具体的にどのような攻撃なのでしょうか? はい。A2BはApp-to-Backendの略称で、 アプリからバックエンドサーバーへの攻撃を意味します。 通常、サーバーを直接攻撃するのは難しい場合が多いのですが、 攻撃者は誰もがダウンロードできるアプリに目を付けます。 アプリの中身を細かく分析することで、 アプリがサーバーとどのように通信しているか、 つまりAPIの使用や隠された接続先を見つけ出します。 そして、その正規のルートを悪用したり、 想定外のデータを送り付けたりして、 サーバーの弱点をつくという非常に巧妙な手法です。 アプリを調べるだけで、サーバーの弱点が そこまで詳しくわかってしまうものなのですか? はい。スマートフォンアプリの多くは、 画面の表示やデータ処理のために、 常に裏側でサーバーと通信を行っています。 そのため、アプリのプログラム内部には、 サーバーの接続先や認証に必要な情報、 データのやり取りのルールなどがどうしても含まれてしまいます。 攻撃者は特殊なツールを使ってアプリを分解して解読することで、 これらの情報を抽出します。 最近ではAI技術を使うことで、 この解析作業や脆弱性の発見が極めて短時間で、 かつ自動的に行われるようになっています。 今回はAndroidアプリが挙げられていますが、 他の種類のアプリでも危険はあるのでしょうか? はい、その通りです。 今回はAndroidアプリを手掛かりにした事例として取り上げられていますが、 同様のリスクはiOSアプリやパソコンで利用するウェブサービスの バックエンドAPIでも十分に発生する可能性があります。 アプリの種類に関わらず、手元の端末で動作するプログラムと サーバーが通信を行っている以上、 その通信の仕組みを解析されるリスクは常に存在します。 そのため、Androidアプリを提供していない企業であっても、 決して安心してはいけません。 アプリを提供している企業は、どのような対策を打てば この攻撃を防げるのでしょうか? はい、NICTのレティスは大きく3つの推奨対策を挙げています。 まず1つ目は、過去の通信記録などを調査して、 すでに攻撃を受けていないかを確認する侵害の確認です。 2つ目は、公開しているAPIなどに問題がないかを洗い出す 脆弱性の点検です。 そして3つ目が、不要な外部からのアクセスを制限するといった 暫定的な緩和策の実施です。 また、注意喚起の中にはIOCと呼ばれる 攻撃を受けた際に見られる特有の痕跡の情報も紹介されていますので、 これを活用して自社を監視することが重要です。 今後もAIの進化で攻撃が巧妙化しそうですが、 私たちはどんな教訓を得るべきでしょうか? はい、最大の教訓はアプリ自体を強固にするだけでなく、 アプリと連携するサーバー側のセキュリティ対策、 特にAPIの保護を徹底しなければならないということです。 これまでは、外部に公開していないから安全だと思い込んでいたサーバーの入り口も、 アプリ通じて容易に特定される時代になりました。 AIによって攻撃のスピードと精度が増しているため、 企業側も常に最新の脅威動向を把握し、 システムの設計段階からセキュリティを組み込むという 根本的な意識改革が求められています。 なるほど、私たちが便利に使っているアプリが、 サーバーを攻撃するための設計図のように使われてしまうとは驚きでした。 AIによって攻撃がスピードアップしているからこそ、 企業はアプリとサーバーの両面からいち早く点検と対策を行う必要があることがよくわかりました。 また一つ勉強になりました。 # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はですね、相次ぐ情報漏洩インシデントの背後に潜む攻撃仕様についてお届けしました。 NICTからですね、注意喚起という形で出されているわけなんですけども、 とうとうですね、攻撃に名称が付けられたということです。 AtoB攻撃ということで、アップとバックエンドアタックですかね、 そういった名前が付けられました。 ただですね、これ自体どうでしょう。 スキラ上ですね、継続的に聞いていただけている皆さんにとっては、 どこかで聞いたなというふうに感じられた方もいらっしゃるかもしれません。 というのもですね、そのAtoB攻撃、これ自体はですね、 確かに切り口としては目新しさも感じるところはあるんですけれども、 例えばAIによって高速な脆弱性の分析が一般化していることであったり、 あとはですね、スマホアプリ、 特にAndroidに関してはソースコードがなくても解析できるよということであったり、 こういったところはですね、過去のセキュラシー、 もうAI以前からですね、お話している内容もあったりします。 そういった点と点がですね、今回結ばれることによって、 新しい攻撃が生まれているということになります。 ですから継続的に聞いていただけているリスナーさんにとってはですね、 あまりこう目新しいものというか、 過去の延長線上で今回のインシデントが発生しているということが お分かりいただけているんではないかというふうに思っています。 あと今回ですね、そのAI×セキュリティ×人というところがですね、 このAtoB攻撃にも現れているというふうに解説させていただきました。 その背景としてはですね、お金がなくてセキュリティ対策が見送られている箇所が狙われているということですね。 ここに僕自身現れていると思っています。 自分自身がですね、常に企業化としてこのセキュリティ界隈に向き合っているということがあるわけなんですけども、 どうしてもですね、そのブラウザ向けのAPIだったり、そのウェブサイトに対してモバイル向けですね、 こういったアプリが接続するAPIはそこまでは攻撃されないでしょうというようなですね、 油断が今回攻撃者に狙われているわけです。 つまり最後の×人、この部分がですね、実際に脅威となるという部分です。 こういった新しい脅威には新しいセキュリティ対策でですね、しっかりと僕自身も企業化として向き合っていきたいと思います。 今日の10分セキュリティラジオは月曜から土曜に祝日も休まず配信しております。 それではまた明日の配信でお会いしましょう。 セキュリティジョッキーの松野でした。See you.