知らないうちに個人情報が盗まれる？「A2B攻撃」をわかりやすく解説

皆さんは、スマートフォンのアプリを使うとき、どのくらいセキュリティを意識していますか？

怪しいアプリをインストールしない。知らないリンクを開かない。こうしたことに気をつけている方も多いと思います。

ところが、私たちが何も悪いことをしていなくても、普段使っているアプリの仕組みを悪用され、個人情報が流出してしまう可能性があります。

しかも、攻撃者が狙っているのは、私たちのスマートフォンではありません。アプリの向こう側にあるシステムなのです。

2026年10月13日、情報通信研究機構（NICT）は、国内で相次ぐ情報漏えい事案の原因の一つとして「A2B攻撃」という手法を特定し、注意を呼びかけました。

自分は何もしていないのに、ある日突然、情報漏えいの当事者になるかもしれない。 そう考えると、「知らなかった」では済まされない問題にも思えてきます。

今回は、このA2B攻撃について、専門知識がなくても理解できるように解説したいと思います。

A2B攻撃とは？

A2B攻撃とは「App-to-Backend Attack」の略称です。簡単にいえば、「一般に公開されているアプリを調べ、その裏側にあるサーバーの弱点を狙う攻撃」です。

例えば、ネットショッピングのアプリを想像してください。

スマートフォンで商品を選び、購入ボタンを押すと、注文が完了します。しかし、実際にはスマートフォンの中だけで注文が完了しているわけではありません。

アプリはインターネットを通じて企業のサーバーと通信し、在庫を確認したり、注文情報を登録したりしています。

つまり、私たちが操作しているアプリは、サービスの表側にすぎません。その裏側では、個人情報や注文履歴を管理するシステムが動いているのです。

A2B攻撃は、この裏側を狙います。

攻撃者は、どうやって裏側を調べるのか？

ここが今回の攻撃の興味深いところです。

攻撃者は、最初から企業のシステムに侵入する必要はありません。誰でも入手できるアプリを解析し、その通信の仕組みを調べるところから始めます。

例えば、注文履歴を見るとき、アプリは「誰が」「どこへ」「何をしてほしいのか」「どの情報が必要なのか」といった情報をサーバーへ送っています。

このやり取りに使われる仕組みが「API」です。簡単にいえば、アプリとサーバーが決められたルールで情報を交換するための窓口です。

攻撃者は、どの窓口へ、どのような要求を送れば、どんな返事が返ってくるのかを調べます。

そして、ここからが重要です。

攻撃者は、調べた通信方法を使い、正規のアプリを通さずにサーバーへ直接、不正な要求を送ることができるのです。

つまり、アプリの解析は、攻撃を仕掛けるための下調べなのです。

どうして個人情報が盗まれるのか？

例えば、ネットショッピングで自分の注文履歴を見ることはできますよね。

では、もし他人の注文履歴まで見られてしまったら、どうでしょうか。

ここで重要なのが「認証」と「認可」という2つの仕組みです。

認証とは「あなたは誰ですか？」を確認すること。認可とは「あなたには何をする権限がありますか？」を確認することです。

例えば、Aさんが正しくログインしていても、Bさんの注文履歴まで見てよいわけではありません。

本来は、サーバー側で「AさんにBさんの情報を見る権限があるのか」を確認する必要があります。

しかし、この確認が不十分だと、他人の情報を取得できてしまう可能性があるのです。

しかも、これは狙われる弱点の一例にすぎません。

サーバーの弱点によっては、情報を書き換えられたり、本来アクセスできない内部システムへ通信させられたり、不正な処理を実行されたりする可能性もあります。

こうした問題には、IDOR／BOLA、SQLインジェクション、SSRF、RCEなどの名前がついています。

専門用語を覚える必要はありません。重要なのは、アプリ自体に問題がなくても、その裏側に弱点があれば被害が発生し得るということです。

なぜ今、注目されているのか？

実は、アプリの解析やAPIへの攻撃は、以前から存在していました。

今回注目されているのは、公開アプリを手掛かりに相手の仕組みを調べ、それぞれのサーバーに合わせて攻撃方法を変えている点です。

さらに、AIの進化も見逃せません。

JPCERT/CCは2026年10月15日、関連する攻撃元サーバーの調査で、攻撃者がAIを使って脆弱性を調べたり、API経由の攻撃を行ったりしていたことを報告しています。

もちろん、A2B攻撃にAIが必須というわけではありません。また、すべての情報漏えいがAIによって引き起こされたわけでもありません。

それでも、これまで時間のかかっていた調査をAIで効率化できれば、攻撃の対象が広がる可能性があります。

便利な技術は、攻撃者にとっても便利な道具になり得るのです。

私たちにできることは？

ここまで読んで、「では、アプリを使わない方がよいの？」と感じた方もいるかもしれません。

しかし、その必要はありません。

今回の攻撃は、利用者が注意するだけでは防げないものです。アプリやサーバーを提供する側が、本人確認や権限の確認を適切に行い、不正な要求を拒否できるようにすることが重要になります。

NICTも、すでに攻撃を受けていないかの確認、システムの弱点の点検、被害を広げないための対策を推奨しています。

一方、私たち利用者にも、被害に気づいた際にできることがあります。

例えば、利用しているサービスから情報漏えいの案内が届いたら、公式サイトで内容を確認すること。パスワードの流出が疑われる場合には変更し、同じパスワードをほかでも使っていれば、そちらも見直すこと。不審なログインや注文、請求がないかを確認することです。

多要素認証を設定できるサービスなら、利用することも有効です。

ただし、これらは主にアカウントの悪用や二次被害を防ぐための対策であり、サービス側のA2B攻撃そのものを防げるわけではありません。

おわりに　知らないところで起こる情報漏えい

今回のA2B攻撃から、私たちは何を学べるのでしょうか。

私は、「自分が気をつけていること」と「自分の情報が安全であること」は別だという点が重要だと思います。

私たちは普段、アプリの便利さを感じながら利用しています。しかし、その裏側でどのように情報が管理されているのかを知る機会は、ほとんどありません。

だからこそ、情報漏えいは決して他人事ではないのです。

そして、サイバー攻撃は一度対策すれば終わりというものでもありません。攻撃者は新しい弱点を探し続けています。

便利なサービスを安心して使うためには、提供する側が守り続けること、利用する側も情報を知り、必要なときに適切に対応できることが重要なのでしょう。

もし、普段使っているサービスで情報漏えいのニュースを見かけたら、まずは自分が利用しているサービスなのか、どのような情報が対象になっているのかを確認してみてください。

次回は、このA2B攻撃を森の動物たちとおつかい妖精が登場する童話に置き換えてみたいと思います。

参考資料

• NICT「相次ぐ情報漏えい、その原因の一つは『アプリ解析からのサーバ攻撃』」（2026年10月13日）

• NICT CYNEX：A2B攻撃に関する注意喚起

• JPCERT/CC「連続不正アクセス事案の攻撃手法に関する調査」（2026年10月15日）

最後に：身近な雑学から、新しい発見を

今回の記事のように、一見すると仕事とは関係のない出来事にも、営業やブランド、AI時代の働き方を考えるヒントが隠れています。
映画、漫画、歴史、昔のゲームなどを入口に、そんな意外な発見をまとめています。

興味を持っていただけたら、ぜひほかの記事ものぞいてみてください。今後もこうした話題をお届けしていきますので、フォローしていただけるとうれしいです。