非公開であるはずのサーバーの内部仕様を知られる

「A2B攻撃」の流れを見ると、攻撃者はまず、一般公開されているAndroidアプリを解析して、アプリが通信するサーバーの接続先や通信の仕組み（API）を調べる。次に、得られた情報をもとに、ターゲットにするサーバーに合わせた攻撃を行う。

アプリ提供事業者にとっては、一般公開していないサーバーの内部仕様が知られてしまい、自社システムの弱点をピンポイントで狙った攻撃を受ける。その結果、サーバーに脆弱性があるケースでは情報漏えいにつながる。

多くのシステムに攻撃が拡大する可能性も

Androidアプリだけでなく、iOSアプリやウェブサービスのバックエンドAPIでも、同様の攻撃を受ける可能性があるという。このため、各アプリ・サービスの提供事業者も注意が必要と指摘する。

これに加え、最近ではAI活用によって、効率的にアプリの解析や脆弱性の発見が可能となったことで、多くのシステムに被害が広がる可能性にも言及した。

NICTはAndroidアプリを公開する事業者に向けて、公開APIやサーバーを洗い出し、アクセスログなどから不審なアクセスや情報の不正取得がないかを確認するよう呼びかけている。