相次ぐ不正アクセスから見えてきた「API攻撃」とF5XCによる対策

ケースA：さまざまな脆弱性や設定不備を探す

公開されているシステムに対して既知の脆弱性を探索するほか、環境設定ファイルやバックアップファイルの窃取などが試みられている可能性が示されています。

ケースB：APIを不正に利用する

公開されているスマートフォンアプリからAPIのエンドポイントやキーを特定し、本来の画面操作では実行できない内部APIへのアクセスなどが試みられています。

ケースC：脆弱性をAPI経由で悪用する

MetabaseのSQLインジェクション脆弱性「CVE-2026-72898」を、APIへの不正なリクエストを通じて悪用するケースです。

ケースD：侵害したサーバーにWebシェルを設置する

公開Webサーバーからアクセス可能なアプリケーションサーバー上にWARファイルが設置され、その中のJSPファイルがWebシェルとして動作する事案も確認されています。

ケースA〜Dは、それぞれ攻撃の手法や段階が異なります。

ケースAは、公開システムの脆弱性や設定不備などを探す攻撃です。
またケースDは、何らかの方法で侵害された環境にWebシェルが設置された事例です。

一方で、ケースBとCは、攻撃経路として「API」が具体的に登場しています。

ケースBではAPIそのものの不正利用、ケースCではAPIを経由した脆弱性の悪用が確認されており、異なる攻撃でありながら、どちらにも「APIが攻撃経路として利用されている」という共通点があります。

最近の攻撃者は、普段利用者からは見えにくい、Webサイトやアプリの「裏側」にあるAPIを直接狙っているようです。

さらに気になったのが、この注意喚起から数日後、NICT（国立研究開発法人情報通信研究機構）からもAPIに関連する攻撃について注意喚起が公開されたことです。

その内容は、公開されているAndroidアプリを解析し、そこから得られた情報をもとにバックエンドを攻撃する「A2B攻撃（App-to-Backend Attack）」でした。

NICTでは、一般公開されているAndroidアプリを解析し、その情報を利用してアプリのバックエンドサーバーを攻撃する手法を、

A2B攻撃（App-to-Backend Attack）と呼んで注意喚起しています。