AI或放大“A2B攻击”：日本NICT揭示APP解析到API攻击的新路径

网空闲话plus

2026年10月14日 07:04
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

2026年10月13日，日本国立研究开发法人信息通信研究机构（NICT）发布警示，称在日本国内相次发生的信息泄露事案中，已特定出一种攻击手法：解析一般公开的Android应用，进而攻击其连接的后端服务器。NICT威胁信息分析团队“LETTICE”将其命名为“A2B攻击（App-to-Backend Attack）”。详细警报于10月13日14时公开，15时更新至Rev 1.1，全7页，主要修正轻微表述。安全新闻于10月14日汇总报道，并特别提示AI可能令此类攻击高度化。

一、A2B攻击的TTPs：App是攻击者的“后端说明书”

A2B攻击的链条清晰：攻击者获取正規公开的Android应用，解析应用内含信息与通信方式，掌握API连接先、通信规格、密钥等；随后绕过App画面，直接向后端API发送符合规格的请求；最终利用服务器侧认证、授权或输入值验证不足，获取或操作本不应访问的数据。NICT指出，即使应用本体没有漏洞，存放顾客信息的后端仍可能被攻击。认证なし即可使用的API，以及一般用户登录后可调用的API，都可能成为目标。事业者认为“非公开”的服务器内部规格，也可能因配布应用被解析而暴露。因此，不能仅凭“持有API密钥”或“使用与正規应用相同通信格式”就允许访问，实际授权必须在API侧按利用者、权限、对象数据逐一判定。

NICT详细资料列出的主要确认对象包括：IDOR/BOLA，即对象级授权不备，用户可参照或变更其他用户信息；SSRF，服务器被诱导访问非预期连接先；RCE，通过外部输入等实现不正当代码执行；SQL注入，通过输入执行非法数据库命令。材料同时提醒，这四类是该次攻击中主要探索和恶用对象，并不意味着所有国内事件都同时滥用了这四种。

二、最新进展：NICT与JPCERT/CC同期警示，IoC仅3件IP

NICT建议优先检查2026年8月以后的访问日志、API日志、认证日志，可能的话向前追溯。Rev 1.1第6页公开了与攻击相关的3件IP地址，以无害化表记：69.10.51[.]162、210.149.87[.]120、207.241.172[.]54。NICT将其定位为“部分IoC”，不是断定特定地址为攻击者专用设备；仅凭通信一致不能判断侵害，也不能一律遮断，应结合访问时刻、被调用API、认证结果、取得或变更的数据、是否通常业务通信来核对。资料还提到IoC包括IP地址和User-Agent等，但第6页具体值仅列出上述3个IP，未刊登User-Agent具体字符串。

在此之前的10月8日，JPCERT/CC发布注意唤起，10月9日更新，编号JPCERT-AT-2026-0030，将“从智能手机应用解析到API端点或密钥特定”的攻击作为“案例B”介绍，并报告内部API权限变更、非法账号作成、响应内容确认、NoSQL注入信息探索等。JPCERT/CC要求确认API授权控制、利用次数限制、最小权限、令牌有效期与失效步骤。不过，NICT与JPCERT/CC的资料并未公表为针对完全同一攻击者或同一被害事案，二者可作为日本国内公开应用与API攻击的并行参考。

三、可预见影响：API盲区与个人信息泄露风险

A2B攻击直接指向后端API，影响可能包括不正访问、利用者信息泄露、未授权数据参照或变更、权限变更、非法账号作成等。对象以Android应用提供事业者为中心，但iOS应用和Web服务的API也可能出现类似问题。风险盲区包括子域、旧版本API、验证环境、云上公开服务，以及管理台账未登记的旧API和验证用端点。尤其是允许个人情报检索、下载、一括输出的API，若与一般用户向API未分开权限和监视，后果可能更严重。若无法修复，企业甚至可能不得不暂停该API、功能或服务。

四、后续发展：AI是警示，不是已确认攻击

NICT警告，AI可能使应用解析和脆弱性探索效率化，令A2B攻击向更多系统扩散。但本次发布并未列出AI利用的特定攻击工具名称，也未确认AI利用在哪些被害事案中出现。问题中心仍是：配布应用能否被用来调查后端信息，以及服务器能否适当拒绝不正当请求。

五、防范措施：侵害确认、脆弱性点检、暂定缓和

NICT提出三类应对。第一，侵害确认：列举公开主机，包括子域、旧API、验证环境、云公开服务；查2026年8月以后日志并尽量追溯；与IoC对照；关注未认证大量取得、连番ID指定、别会员信息访问、认证令牌不审发行、管理功能利用等；发现不审通信后，确认登录成败、访问数据、阅览或变更有无、认证信息恶用范围。第二，脆弱性点检：检查服务器侧授权与输入值验证，包括IDOR/BOLA、SQL/NoSQL注入、SSRF、云服务与存储（S3、GCS、Firestore）未认证或过剰权限、危险反序列化、任意文件写入或覆盖、管理功能不当公开；会員ID或数据ID API要确认能否跨会员、跨租户访问。端末App上的画面控制不能替代服务器侧授权。第三，暂定缓和：限制国外或不必要来源；停止或限制不必要公开API、管理功能、验证环境；监视调用频率和连续标识，必要时用速率限制或WAF；认证信息或令牌疑似泄露时无效化并再发行；无法修复且风险不可接受时，考虑暂停API、功能乃至服务。

恒久对策是，以攻击者可不经正規App直接调用API为前提，修正后端认证、授权和输入值验证。企业若委托外部开发，也应把后端API设计、运用纳入确认范围；功能追加或改修产生新API时，要登记到管理对象。LETTICE于2024年2月发足于NICT的网络安全 nexus（CYNEX），是威胁信息共同分析团队。NICT不接受个别系统诊断或改修技术咨询，具体调查需由社内负责人、开发运用委托方或安全专业事业者推进。

总体看，A2B攻击不是单一App漏洞，而是“公开应用解析＋后端API弱点”的组合风险；公开App可能成为攻击者地图，安全边界必须落在API侧。当前公开信息不能把最近特定企业侵害一律归因于A2B攻击，但NICT与JPCERT/CC的注意唤起，已为企业点检公开API、日志、授权和暂缓措施提供了明确线索。

参考文献

1. NICT LETTICE「【注意喚起】相次ぐ情報漏えい、その原因の一つは「アプリ解析からのサーバ攻撃」」2026年10月13日14時公開、15時Rev 1.1更新、全7ページ。
2. NICT LETTICE／CYNEX Library「【注意喚起】相次ぐ情報漏洩、その原因の一つは「アプリ解析からのサーバ攻撃」」詳細PDF、Rev 1.1、全7ページ。
3. JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」JPCERT-AT-2026-0030、2026年10月8日公開、9日更新。
4. セキュリティニュース「NICT、国内情報漏えいにつながる「A2B攻撃」を特定―Androidアプリ解析からサーバーを狙う手口、AIによる高度化にも警告」2026年10月14日投稿・更新。