悪用（エクスプロイト）サイクルは、
ほぼ「即時」の領域へ
公開から悪用までの時間（TTE）は、年々短くなっています。
TTE：CVEの公開から実環境での悪用が確認されるまでの期間（CISA KEV / VulnCheck KEV の3,500件超に基づく）
攻撃者は1つ見つければいい。防御側は、すべて見つけなければならない。
公開アプリから API が狙われる
「A2B攻撃」
公開アプリを解析し、その裏にある API を狙い撃ちする攻撃です。
認証方式
NICT が示す推奨対策
注意喚起の詳細を読む
A2B攻撃（App-to-Backend Attack）は、公開されているスマホアプリを解析して得た情報を使い、そのアプリが通信しているバックエンドサーバーを狙い撃ちする攻撃手法です。NICTの脅威情報分析チームLETTICEが、国内で相次ぐ情報漏えい事案の原因の一つとして特定し、この名前を付けて10月13日に注意喚起を出しました。総務省もこれを受けて関係者へ注意を呼びかけています。
攻撃者は公開Androidアプリを入手・解析し、接続先サーバーやAPIの仕組みを調べたうえで、そのサーバーに合わせた攻撃を仕掛けます。APKファイルにはAPIエンドポイント、認証方式、パラメータ構造など、サーバー接続に必要な情報が埋め込まれていることが多く、攻撃者はこれを抜き出して、外からは見えにくいバックエンドの攻撃面を効率よく割り出せます。
従来型との違いは入口にあります。標的のサーバーを直接スキャンせず、アプリストアから正規アプリをダウンロードして静的・動的解析を行うため、サーバー側の防御だけでは検知が遅れやすいとされています。事業者にとっては、非公開のつもりだったサーバーの内部仕様が攻撃者に知られ、弱点をピンポイントで突かれることになります。
今回確認された事例では、SSRF、RCE（リモートコード実行）、SQLインジェクション、IDOR（不適切な直接オブジェクト参照）の4種類が探索・悪用の対象になっていました。特にIDORは、認証は通っていても認可チェックが不十分なため、IDを書き換えるだけで他人のデータを取得できてしまう脆弱性です。API設計の問題として見落とされがちです。
LETTICEは、AIによって解析の自動化や攻撃コード生成が効率化され、以前は人手が要ったアプリ解析からサーバー攻撃までの工程が短時間で実行できるようになりつつあると指摘しています。問題はAndroidに限らず、iOSアプリやWebサービスのバックエンドAPIでも起こり得ます。なお、10月8日にJPCERT/CCが公表した3つの攻撃手法のうちの「API経由での不正な操作」と共通するものとされています。
NICTが示した対策は「侵害確認」「脆弱性点検」「暫定緩和策」の3種で、Androidアプリ提供事業者を中心に、同様のAPIを使うiOS・Webサービス事業者も対象です。進め方としては、まず既に侵害されていないかをログ等で確認します。次に、APIの上記4種の脆弱性（特に認可設計）を点検します。恒久対応が済むまでの間は、WAFやレート制限などで緩和します。根本的には「アプリに含まれる情報は全部攻撃者に見られる前提」でサーバー側の認証・認可を設計することが肝心です。
このような課題はありませんか
開発スピードに、人手のペネトレーションテストが追いつかない組織で起きていることです。
AI が、ペンテスターのように
攻撃して確かめる。
XBOW は、AI が人間のペンテスターのように対象アプリケーションを調査し、攻撃経路を探し、脆弱性を発見し、実際に攻撃が成立するかを検証するプラットフォームです。
※画面はイメージです。
GitHub Copilot が開発を支援するように、XBOW はペネトレーションテストを AI で支援・自動化するサービスです。
AI が攻撃を試し、システムを壊さずに弱点を見つけます
壊さない
目標だけを設定
破壊的コマンドは除外
精度を向上
公開ランキングでの実績
出典：XBOW 社公表値。数値は公表時点のものです。
XBOW が選ばれる理由
人間レベルのペネトレーションテストをマシンスピードで提供する、
AI駆動の自律型SaaSプラットフォーム
それを支える
6つの機能
実証・継続・統制を、ひとつのプラットフォームで。
悪用可能性を、XBOW 自身が実証
独立した検証プロセスで再現性と悪用可能性を確認します。届くのは推定リスクではなく、証拠と再現手順です。
単体では見えない攻撃経路を発見
複数の Attack Agent が並行して攻撃を試行し、脆弱性の組み合わせによる攻撃経路まで探索します。
変更のたびに、継続して検証
リリースサイクルに合わせて実行でき、対象アプリケーションが増えても人員を増やす必要がありません。
本番環境でも統制された自律実行
スコープは利用者が定義し、全操作が記録・監査可能。SOC 2、ISO 27001、PCI DSS、NIS 2 の要件に沿った導入が可能です。
判断の全過程が追跡できる
攻撃経路、証拠、再現手順、修正方針が一件ごとにまとまり、判断の過程まで追跡できます。
開発者がそのまま使える修正情報
修正手順まで含めて出力され、経営層や監査への報告にも利用できる形式で提供されます。
ユースケース
お客様の XBOW 運用事例
ペネトレーションテストの運用モデルを拡張
既存のテストモデルのキャパシティ、規模、スピード、そして実施頻度を、ハッカーよりも早く高いレベルでの実施をご支援
理論上の検知結果を実環境で検証
アプリやAPIの実環境において、その脆弱性が本当に悪用可能であるかどうかをトリアージする。
外部アタックサーフェスの堅牢化
対策可能な間に、Webアプリの攻撃対象領域に対する外部から内部への評価を行い、悪用可能な侵入口を発見して塞ぐ。
他の診断サービス・ツールとの違い
既存の診断やスキャナを置き換えるものではなく、「実際に攻撃が成立するか」を継続的に確かめる層を補うものです。
○ 対応 △ 一部対応・条件付き — 主な用途ではない ※公開情報に基づく当社の整理です。
導入の流れ
お問い合わせ・ヒアリング
対象システム、現在の診断体制、想定される課題を高千穂交易の担当がお伺いします。
スコープ設計・環境準備
検証対象の範囲、実行条件、データの取り扱い要件を定義し、実行環境を整えます。
実行・悪用可能性の検証
XBOW が自律的に探索・連鎖・実証を行い、確認された結果のみを報告します。
レポート確認・再テスト
修正後は同じ条件で再実行し、対処が有効であることを確認します。
よくある
ご質問
検証範囲はお客様が定義し、実行される操作はすべて記録されます。データの分離、保管場所、コンプライアンス要件に合わせた導入形態を選択いただけます。
置き換えを前提としたものではありません。一般的なスキャナーが「脆弱性の可能性」を検出するのに対し、XBOW は実際に攻撃が成立するかを検証します。既存ツールの指摘のうち、本当に危険なものを特定し優先順位を判断するための層として機能します。
対象の規模と与えるコンテキストによって異なります。外部委託のように手配や日程調整を挟まないため、必要なタイミングで実行し結果を確認できます。詳細は個別にご案内します。
レポートの提供形式および日本語での支援範囲については、高千穂交易よりご説明します。導入前の要件確認の段階でご相談ください。
SOC 2、ISO 27001、PCI DSS、NIS 2 の各要件に沿った導入が可能です。データの分離やデータ所在地の要件にも対応します。
パートナー様向けのお取り扱いについてもご相談を承っています。お問い合わせの際にその旨をお知らせください。
高千穂交易のサポート体制
1952年の創業以来、海外の先進技術を国内市場に導入してきた技術商社として、導入前の検討から運用までを国内でご支援します。
まずは PoC で、
自社の環境で確かめる
無料トライアルで、実際のアプリに対する検証結果をご確認いただけます。導入のご相談やパートナーとしてのお取り扱いも承ります。
フィジカル×サイバー空間の安全・安心をご提供
セキュリティのご相談は高千穂交易へ
お客様の課題に応じて、最適なセキュリティサービスを豊富な製品ラインナップからご提案・ご提供。導入からアフターサポートまでご支援します。