JPCERT/CC、不正アクセス調査でAI支援のスキャンとAPI狙いの攻撃を確認
JPCERT/CCAPISSRF不正アクセススマホアプリ
JPCERT/CCは10月15日、国内組織で相次いだ不正アクセス事案について攻撃者側サーバの調査結果を公開した。既知の脆弱性スキャンや攻撃にAIが使われていたほか、Androidアプリを解析してAPIを特定し、SSRFの有無を試す手口が確認された。アプリに埋め込んだ鍵や署名ロジックに依存せず、サーバ側で認証・認可を担保することが対策として挙げられている。
何が発表されたか
JPCERT/CCは2026年10月15日、ブログ「JPCERT/CC Eyes」で、国内組織における一連の不正アクセス事案の攻撃手法に関する調査結果を公開した。同組織が10月8日に出した注意喚起の続報にあたる。
攻撃者が使用していたサーバを調査した結果、次の内容が確認されたという。
- AIを利用した脆弱性スキャンとAPIへの攻撃: 既知の脆弱性の探索やAPIに対する攻撃にAIが用いられていた。
- Androidアプリの解析からAPIを特定する手口: 配布されているAPKファイルを解析してAPIを洗い出し、そのAPIにSSRF（サーバサイドリクエストフォージェリ）の不備がないかを試していた。日本国外向けのアプリも対象に含まれていた。
- 解析ツールの存在: FlutterやAndroidアプリのリバースエンジニアリングに使うBlutterやjadx、ネイティブライブラリから抽出した文字列などが見つかった。
- 内部侵入の痕跡: 別のサーバではEDRの回避を試みた形跡、標的組織内に設置されたとみられるWebシェル、MySQLやJenkinsサーバ、メールゲートウェイを狙うツール類が確認された。
付録BではIoCとしてIPアドレス3件が公開されている。
取るべき対応
影響を受けうるのは、スマートフォンアプリから自社のWeb APIを呼び出しているサービスの運営者、および外部URLを取得する機能を持つWebアプリの開発・運用者だ。公開済みのアプリは解析できる前提で設計を見直す必要がある。
JPCERT/CCが挙げている対策は次のとおり。
- クライアントアプリに長期間有効な秘密情報やAPI署名鍵を埋め込まない。配布済みアプリから鍵や認証ロジックを取り出し、公式アプリを経由せずAPIを直接呼ばれる可能性がある。
- 認証・認可はサーバ側で担保する。アプリ側の署名や難読化だけに依存しない。
- レート制限をかけ、異常なリクエストを監視する。非公式クライアントからの呼び出しがある前提で設計する。
- SSRF対策として、URLを取得するAPIの接続先を限定し、リダイレクト先も検証する。
APIを公開しているサービスでは、まず自社アプリに埋め込まれた値の棚卸しと、サーバ側での認可チェックの有無の確認から着手したい。公開されたIoCのIPアドレスについては、アクセスログとの突き合わせを行うとよい。