APIを守る多層防御

「スマートフォンアプリには重要な情報を保存していないから、安全だろう」
そう考えていても、アプリを解析することで、通信先のサーバーやAPIの構成が攻撃者に知られてしまうことがあります。
2026年10月13日、NICT（情報通信研究機構）は、公開アプリの解析を足掛かりとしてバックエンドサーバーを攻撃する手法を「A2B Attack（App-to-Backend Attack）」と名付け、注意を呼びかけました。Androidアプリだけでなく、iOSアプリやWebサービスのバックエンドも攻撃対象になり得ます。NICT

アプリの「裏側」にあるAPIが狙われる
スマートフォンアプリの多くは、インターネット上のサーバーと通信しています。その通信窓口が「API」です。
例えば、利用者がアプリで会員情報を表示すると、アプリはAPIを通じてサーバーへ問い合わせ、必要なデータを受け取ります。
攻撃者は、一般利用者と同じように公開アプリをダウンロードしたうえで、アプリのプログラムや通信内容を解析します。そこから次の情報が判明する可能性があります。

– 通信先となるAPIのアドレス
– 使用されているパラメーターや認証方法
– 一般には知られていないAPI
– アプリ内に埋め込まれた認証情報
– サーバー側の処理を推測できる情報

アプリの動作に問題がなくても、サーバー側の認証や権限確認が不十分であれば、他人の情報の閲覧、不正操作、大量のデータ取得などにつながります。
さらに、SQLインジェクションやリモートコード実行などの脆弱性があれば、サーバーへの侵入、サービス停止、ランサムウェア感染へ発展する可能性もあります。

AIによりアプリ解析が速くなる
NICTは、生成AIやAIエージェントを利用することで、アプリの解析や脆弱性の発見が高速化する可能性も指摘しています。
AIが新たな弱点を作るわけではありません。しかし、これまで専門知識と時間が必要だった解析の一部が自動化されることで、攻撃者が弱点を発見するまでの時間が短くなることは想定しておく必要があります。
「アプリ内部の仕組みは攻撃者には分からない」という前提ではなく、公開したアプリの内容や通信方法は解析されるものとして、サーバー側で安全性を確保することが重要です。

企業が確認すべき7つの対策

1．公開中のアプリとAPIを一覧化する
現行アプリだけでなく、古いバージョン、テスト用API、開発を終了したサービスも確認します。
使われていないAPIは停止し、外部公開が不要な管理画面やサーバーは、VPNやアクセス元制限などで公開範囲を狭めます。

2．アプリに秘密情報を埋め込まない
アプリに固定パスワードや秘密鍵、管理用の認証情報を保存してはいけません。
すでに埋め込まれていた場合は、削除するだけでなく、認証情報の失効と再発行が必要です。

3．サーバー側で毎回権限を確認する
ログイン済みであることと、その情報を閲覧・変更する権限があることは別です。
APIは要求を受けるたびに、「誰からの要求か」「その利用者に操作権限があるか」をサーバー側で確認しなければなりません。

4．Webアプリケーション診断を行う
自動診断だけでなく、ログイン後の機能や権限の違いを確認する診断も検討します。
特に個人情報、決済、会員管理などを扱うサービスでは、専門業者による診断が有効です。

5．OSやミドルウェアを更新する
APIのプログラムだけでなく、サーバーOS、Webサーバー、データベース、開発フレームワークにも脆弱性が発見されます。
資産を把握し、重要度に応じて更新する仕組みが必要です。

6．WAFとログ監視を導入する
WAFはWebサイトやAPIへの通信を確認し、既知の攻撃パターンなどを遮断する仕組みです。
Akamai App & API Protectorでは、WAF、APIの検出・保護、ボット対策、レイヤー7のDDoS対策などを組み合わせ、Web／APIの入口を保護できます。
APIの利用状況をより詳しく把握・分析する場合は、Akamai API Securityも選択肢になります。Akamai
ただし、WAFを導入しても安全なプログラム開発やWebアプリケーション診断が不要になるわけではありません。

7．侵入を想定して復旧手順を準備する
防御だけでなく、被害を受けたサーバーを隔離し、安全な状態へ戻す手順も必要です。
ログの保存、連絡先、担当者の役割、バックアップの保管場所、復元の優先順位を決め、実際に復元できるか定期的に確認します。
AkamaiとAcronisで役割を分けて守る
A2B攻撃への備えは、一つの製品だけで完結するものではありません。

Acronis Cyber Protect Cloudでは、サーバーやパソコンに対して、脆弱性評価、対応するOS・アプリケーションのパッチ管理、マルウェア対策・EDR、バックアップ、復旧などを統合して管理できます。Cyber Protection Solution for MSPs
例えば、バックエンドサーバーの脆弱性や更新状況を可視化し、必要なパッチを適用する運用を支援できます。万一、サーバーが侵害された場合も、バックアップからの復旧や、構成に応じたディザスタリカバリによって業務再開に備えられます。
ただし、AcronisはWAFやWebアプリケーション診断の代替ではありません。
「Web／APIの入口はAkamai」「サーバーや端末、データの保護と復旧はAcronis」「プログラム固有の弱点は専門診断」という役割分担が効果的です。

今週確認したい5項目
– 自社のアプリが接続するAPIを一覧化できていますか
– 使われていないAPIやテスト環境が公開されたままになっていませんか
– アプリ内に固定の認証情報を保存していませんか
– APIへの異常なアクセスをログから検知できますか
– サーバー侵害時の隔離・復元手順を確認していますか
一つでも分からない項目があれば、アプリだけでなく、その裏側にあるAPI、サーバー、バックアップまで含めて見直す必要があります。

まとめ

公開アプリは、利用者にサービスを提供する窓口であると同時に、攻撃者がバックエンドの構成を調べる手掛かりにもなります。
今後は「アプリを解析されないようにする」だけでなく、「解析されても不正操作を許さない」「攻撃を入口で遮断する」「侵入されても復旧できる」という多層的な対策が求められます。
弊社では、Web／API診断の手配、Akamaiを活用した入口対策の構成検討、Acronis Cyber Protect Cloudによるサーバー・端末保護とバックアップについてご相談を承ります。
「自社のAPIがどこまで公開されているか分からない」
「AkamaiとAcronisの役割分担を整理したい」
「診断から防御、バックアップまでまとめて相談したい」
このようなお悩みがございましたら、お気軽にお問い合わせください。

弊社では、公開Webシステムの入口を守るAkamaiのセキュリティ対策と、サーバー・端末・データを保護するAcronis Cyber Protect Cloudを組み合わせた多層防御をご提案します。
「Webサイトがどのような攻撃を受けているか分からない」
「WAF、サーバー対策、バックアップをまとめて相談したい」
「現在の対策で、情報漏えいやランサムウェア被害から復旧できるか確認したい」
このようなお悩みがございましたら、お気軽にお問い合わせください。

お問い合わせ

執筆・監修：株式会社ウイル 執行役員 岸本　静樹
編集協力：生成AI