JPCERT/CC 報告透過 APK 分析攻擊 API 的手法及 Flutter 分析工具痕跡，提醒留意 API 認證資料

JPCERT/CCは2026年10月15日、国内で相次ぐ不正アクセスを受けて進めている攻撃元サーバーの調査結果を公開した。Androidアプリを解析して接続先のAPIを特定し、悪用する手口を確認した。調査対象のサーバーからは、Flutterアプリの解析に使うツールに関連するファイルも見つかった。

• 連続不正アクセス事案の攻撃手法に関する調査 - JPCERT/CC Eyes

今回の報告に先立ち、JPCERT/CCは10月8日、国内組織で相次ぐ個人情報などの漏えい被害について注意喚起を公開し、9日に更新していた。公開アプリからAPIの接続先やキーを特定したり、内部API経由で、画面操作では実行できない権限変更や不正なアカウント作成を試みたりする手口を紹介している。ただし、把握している情報は限定的かつ断片的で、すべての事案に同じ攻撃手法が使われていることを示すものではないとしている。

JPCERT/CCは複数の組織と連携し、攻撃に使われた可能性のあるインフラを調査している。10月15日の報告によると、その過程で、攻撃者がAIを使って既知の脆弱性を探索したり、API経由で攻撃したりしていたことも確認した。攻撃対象には、日本以外の地域向けWebサービスも含まれていた。

アプリの配布ファイルを解析し⁠、APIの脆弱性を探る

Androidアプリは、APIを通じてサーバーとデータをやり取りする。攻撃者は、アプリの配布ファイルであるAPKを解析し、アプリの接続先や通信処理を調べる。こうしたアプリ解析を手がかりとするサーバーへの攻撃については、NICTも10月13日に注意を呼びかけている。

調査対象のサーバーの一つには、日本以外の地域向けアプリが保存されていた。そこには、攻撃者がAPKを解析し、関連するAPIにSSRFなどの脆弱性がないか調べた痕跡が残っていた。SSRFでは、攻撃者がURLの内容を取得する機能などを悪用し、サーバーに意図しない宛先へアクセスさせる。

同じサーバーでは、HTTPステータスコード302のリダイレクト応答を返すPythonスクリプトも見つかった。この応答は別のURLへのアクセスを促すもので、外部URLを読み込むサーバーが従うと、最初に指定されたURLとは異なる宛先へアクセスする。JPCERT/CCは、このスクリプトがSSRFの検証に使われたと考えている。

Flutterアプリでも⁠、埋め込まれた秘密情報を抽出される恐れ

別のサーバーからは、複数のAPKとともに、アプリ解析に使うBlutterやjadxに関連するファイルが見つかった[1]。

Blutterは、アプリ開発フレームワークFlutterで作られたアプリに含まれる、コンパイル済みのDartコードを解析する。JPCERT/CCは報告の補足で、コンパイル済みのFlutterアプリから秘密鍵やAPIの認証処理を特定した過去の解析事例を紹介している。

アプリに共通の秘密鍵やAPI認証用の秘密情報が入っていると、攻撃者がそれらを抽出し、正規アプリを介さずにAPIリクエストを生成する恐れがある。

アプリ内の秘密情報を見直し⁠、サーバー側で権限を確認

こうしたリスクに対し、JPCERT/CCは、API認証に使う秘密鍵や有効期間の長い認証情報をアプリへ埋め込まないよう推奨している。

サーバー側での認証・認可も対策に挙げている。アプリ内のリクエスト署名の生成処理や、コードを読み取りにくくする難読化だけに頼らず、利用者が誰か、何を操作する権限があるかをサーバー側で確認する。

APIの不正利用対策としては、一定時間内に受け付けるリクエスト数を制限し、異常なリクエストを監視する。外部URLの内容を取得するAPIについては、アクセス先を制限するとともにリダイレクト後の宛先も検証するよう呼びかけている。

先行する10月8日の注意喚起では、非公開APIを含む各APIエンドポイントでアクセス制御を行い、API利用者やトークンの権限を必要最小限にするよう案内している。トークンには有効期限を設け、不要になったものや漏えいが疑われるものは速やかに失効できるようにする。

点検対象は一般利用者向けサービスに限らない。同注意喚起によると、従業員向けシステムやBIツールなどでも被害が起きている。JPCERT/CCは、修正済みアップデートの適用に加え、不正アクセスの検知体制や初動対応を見直すよう呼びかけている。不要な管理機能のインターネット公開を停止し、利用目的を終えたデータや保存期間を過ぎたデータを残さないことも勧めている。