A2B攻撃（App-to-Backend Attack）とは、一般に公開されているAndroidアプリを解析し、アプリが通信しているバックエンドサーバの接続先やAPI等、仕様を特定した上で、サーバ側の脆弱性をピンポイントで突いて個人情報や機密データを窃取する攻撃手法です。
9月頃から国内で企業での不正アクセス等の攻撃による情報漏えいインシデントが多発しており、NICTの脅威情報分析チーム（LETTICE）が、公開されているAndroidアプリを解析して裏側のサーバを攻撃する手法を特定し、A2B攻撃と命名しました。名称は新しいですが、スマホアプリ解析によりAPIの仕様を把握して、APIサーバの脆弱性を突く攻撃は以前からあります。
A2B攻撃では、アプリ自体に脆弱性がなくても、アプリの接続先であるサーバ側の問題を悪用されて情報漏えい等が起きてしまいます。 同様の問題はAndroidアプリに限らず、iOSアプリやWebサービスでも発生する恐れがあります。また、AIの活用によってアプリの解析や脆弱性の発見が効率化され、攻撃がより多くのシステムに広がる可能性も指摘されています。
A2B攻撃において注意すべき脆弱性として、SSRF、RCE、SQLインジェクション、IDOR/BOLAなどが挙られています。
・SSRF（Server-Side Request Forgery）：サーバに意図しない通信を実行させる脆弱性
・RCE（Remote Code Execution）：サーバ上で不正なコマンドを実行できる脆弱性
・SQLインジェクション：データベースに不正なSQL処理を実行させる脆弱性
・IDOR（Insecure Direct Object Reference）／BOLA（Broken Object Level Authorization）：オブジェクト単位の認可が適切に行われず、IDなどの識別子を変更することで他の利用者の情報等にアクセスできる脆弱性
A2B攻撃への暫定的な対策として、アクセスログ等で侵害の有無を確認するとともに、公開アプリが解析される前提で、入力値の検証、認証・認可の不備や脆弱性の確認と修正、特定のアクセス元の遮断や不要なAPIの停止等を早急に実施することが推奨されます。