【悲報】情報漏えい相次ぐ原因、「A2B攻撃」というやつだった
ざっくり言うと
情報通信研究機構(NICT)は13日、国内で10月以降相次ぐ大量の個人情報漏えい事件の原因の一つとして「A2B攻撃(App-to-Backend Attack)」を特定したと発表した。これは公開されているAndroidアプリを攻撃者が解析し、接続先サーバーの内部仕様やAPIの仕組みを割り出した上で、その弱点を狙ってサーバーを攻撃する手法である。NICTは事業者に対し侵害確認・脆弱性点検・暫定的な通信制限などの対策を呼びかけ、恒久対策としてアプリ側の制御に頼らずバックエンド側で認証・認可や入力値検証を行うよう求めている。
- 対象脆弱性はSSRF・RCE・SQLインジェクション・IDORの4種
- 分析はNICTの脅威情報分析チーム「LETTICE」が実施
- iOSアプリやWeb APIでも同様の攻撃が起こり得ると指摘
- AI活用でアプリ解析や脆弱性発見が効率化し攻撃拡大の懸念も
情報漏えい 一因は「A2B攻撃」
国立研究開発法人情報通信研究機構(NICT)は13日、国内で相次ぐ情報漏えい事案の原因の一つとして、公開アプリを悪用した「A2B攻撃」を特定したと発表。3種類の推奨対策をまとめて公表した。
news.yahoo.co.jp
スレ主1通りすがりのセキュリティ素人
これなんやが、アプリ解析されてサーバーの弱点ピンポイントで突かれるって普通に怖くない？NICTも名前付けるくらいやばい攻撃ってことやろ
この記事どう思った？タップで教えて
2名無しの業界エンジニア
アプリ解析されたら通信先バレるの今に始まった話やないけどな、それを体系立てて攻撃にしてきたのが厄介なんよ
3匿名希望の夜勤明け
SSRFとかRCEとかSQLインジェクションって聞くだけで頭痛くなるわ、全部昔からある脆弱性やんけ
4通りすがりの新卒インフラ
>>3 新しい攻撃ってより既存の弱点を効率よく見つける手法が進化したって感じやな、APIの地図作られるイメージ
5名無しさん的確ツッコミ
「公開していないはずのサーバーの内部仕様」って言うけど、アプリに全部書いてある時点でもう公開情報定期
6通りすがりの楽天ユーザー
ワイ楽天モバイルのニュースも見たばっかやから震えとる、関連あんのかこれ
7名無しのAPI設計者
アプリ側だけで認証とか制御完結させてるシステム未だに多いからな、サーバー側でちゃんと検証しろって話は当たり前すぎて逆に悲しい
8匿名の学生エンジニア志望
逆にこれ対策してない企業まだあるんか…基本のキやと思ってたわ
9通りすがりの中の人
基本のキやけど予算も人も足りんから後回しにされがちなんや、現場は大体地獄や
10名無しのボケ担当
A2B攻撃ってなんか必殺技っぽくてかっこええな、攻撃力MAXって感じする
11通りすがりのツッコミ屋
>>10 お前のシステムの個人情報がMAXで漏れてるんやぞ、かっこよくないわ
12名無しのAI警戒勢
AIで解析効率化されてるってくだり地味に怖いな、人間がやってた作業を機械がサクサクこなす時代か
13匿名の情シス担当
うちの会社今日この記事回ってきて急遽点検会議始まったわ、これ見てる同業多いやろ
14通りすがりの豆知識マン
IDORって認可の不備のことやで、本来見れないはずの他人のデータURLいじるだけで見えちゃうやつ、地味に多い脆弱性や
15名無しの懐疑派
正直これ名前つけただけで、やってる対策は昔からの脆弱性診断と変わらん気がするんやが
16名無しの業界エンジニア
>>15 名前つけることで経営層に危機感持たせられるのがデカいんや、現場は分かってても上が動かんと予算出んからな
17匿名の一般ユーザー
ワイら一般人はどう対策したらええんや、アプリ使うの怖くなってきたわ
18通りすがりの中の人
>>17 ユーザー側でできることはほぼ無い、事業者側の対策待つしかないのがキツいところやな
19名無しの国外通信警戒勢
暫定策で国外アクセス制限って書いてあるけど、海外在住の正規ユーザーおったらどうすんねんとか気になる
20匿名のインフラ古参
昔からAPIだけ叩けば内部見えるアプリ結構あったからな、今更感もちょっとある
21名無しのボケ担当2号
A2Bってなんかガンダムの型式番号っぽい響きで好き
22通りすがりのツッコミ屋
>>21 型式番号じゃなくてお前の個人情報が流出するかもしれん攻撃な、もう一回言うぞ
23名無しの危機感薄め
10月に入ってから漏えい事件多すぎん？なんか示し合わせたみたいなタイミング
24匿名の分析勢
>>23 AIで解析効率化されてるって言ってるし、攻撃側のハードル下がったタイミングが重なっただけちゃうか
25通りすがりのAPI設計者
バックエンドで検証するの当たり前やのに、フロントだけ信じて組んでるとこマジで多い印象やわ
26名無しの他人事ではない勢
このニュース見て自分がよく使うアプリの運営元は大丈夫なんかって急に不安になってきた
27匿名の楽観派
まあ発表して対策呼びかけてくれるだけマシやろ、気づかんまま放置されるよりええ
28通りすがりの脱線担当
それより磁気乗車券廃止のニュースの方が気になってきたわ、QR乗車券て改札詰まりそう
29名無しのツッコミ再び
>>28 お前情報漏えいの話どこ行ったんや
この記事どう思った？タップで教えて
