「A2B攻撃に対する アイデンティティ技術の有効性と 組織への提言」を公開しました

OpenIDファウンデーション・ジャパンは、ホワイトペーパー「A2B攻撃に対するアイデンティティ技術の有効性と組織への提言」を公開しました。

2026年9月から10月にかけて、国内の多くの事業者が、不正アクセスによる個人情報の漏えい、またはそのおそれを相次いで公表しました。
10月13日には、NICT CYNEXの脅威情報分析チームLETTICEが注意喚起を出しています。
公開されているスマートフォンアプリを解析し、その裏側にあるサーバーを攻撃する手口を「A2B攻撃（App-to-Backend Attack）」と名付け、相次ぐ漏えいの一因になっていると指摘するものです。

A2B攻撃で狙われたのは、アプリそのものではありません。
「自社アプリから来た要求だから大丈夫」と信じて、相手が誰で、そのデータを見てよいかを確かめていなかったサーバー側の設計です。
アプリの解析を完全に防ぐことは難しく、内部構造が知られても安全が保たれる設計が求められています。

本ホワイトペーパーでは、OpenID Connect、OAuthなどのアイデンティティ技術がA2B攻撃にどこまで有効かを整理しました。あわせて、企業や組織が取り組むべきことを提言しています。主な内容は次のとおりです。

1. A2B攻撃の仕組みと根本原因の整理
攻撃の流れと、2026年秋に相次いだ漏えいとの関係を解説しました。
そのうえで、悪用された設計上の弱点を5つに整理し、それぞれをCWE（共通脆弱性タイプ一覧）と対応付けています。

• アプリへのシークレットの埋め込み
• 関係性検証の欠如
• 推測しやすい識別子
• 認可ロジックの分散
• 必要以上のデータを返すAPI

2. OpenID／OAuth関連技術の有効性と限界
どの技術がどの攻撃に有効かを対応表にまとめました。

• 公開クライアントとPKCEによる「アプリにシークレットを置かない」構成
• アクセストークンに基づくオブジェクト単位の認可
• DPoPなどの送信者制約トークン
• FAPI 2.0

一方で、SQLインジェクションのように認可基盤だけでは防げない脆弱性があることも明記しています。

3. 企業・組織への2段階の提言
緊急度が高く短期的に取り組むことと、中長期的に目指す姿の2段階で提言しています。

• 短期：侵害の有無の確認、公開APIの把握、「他人のデータが見えないか」の点検
• 中長期：標準技術に基づく認可基盤への移行、アイデンティティを経営のテーマとして扱う体制づくり

なかでも、個人情報や決済を扱うAPIについては、FAPI 2.0の採用を強く推奨しています。

モバイルアプリやWeb APIを提供する事業者の経営層、CISO、アーキテクト、開発責任者の方々に、自社のサービスを点検する際の参考としてご活用いただければ幸いです。

▼ホワイトペーパーのダウンロード
A2B攻撃に対するアイデンティティ技術の有効性と組織への提言（PDF）
本ホワイトペーパーに関するご意見・お問い合わせは、事務局（contact@openid.or.jp）までお寄せください。