News

〜 最新記事は「A2B攻撃」の解説 〜

フレクトは、Auth0（Okta）のパートナーとして、Auth0をベースにしたID基盤パッケージおよび専門的なアドバイザリーの提供をしており、多くの企業の認証・認可の設計と実装をご支援しています。
「Auth0ブログ」は、Auth0の情報にとどまらず、認証・認可、セキュリティなどIdentityに関する知識をわかりやすく学べるブログです。

この度、公開記事数が50本を超えました。
これらの記事は、パスキー、eKYC（オンライン本人確認）、SSO（SAML／OIDC）、セッション管理、Adaptive MFA、SCIMによるアカウント管理、共通ID基盤へのユーザー移行、AIエージェントのアクセス制御、認証を狙う攻撃手法まで、幅広いテーマをカバーしています。いずれも「○○とは何か」という概要から、仕組みの図解、Auth0での実装手順や移行の実践といった具体的な内容まで、深さを変えて書き分けています。サービスの企画担当、情報システム・セキュリティ担当、認証を実装するエンジニアなど、立場の異なる方が、それぞれ必要な深さで読める構成です。

• 最新記事では、10月に公的機関から注意喚起が出た「A2B攻撃」を取り上げました。
• 新着記事：A2B攻撃への備え、大丈夫？ 〜具体例で対策を理解する〜

A2B攻撃（App-to-Backend Attack）は、2026年10月13日にNICT（情報通信研究機構）が発表し、総務省も同日に注意喚起を出した攻撃手法です。アプリストアで誰でも入手できるアプリを解析して、裏側のサーバにどんなAPIがあり、どう呼び出せばどんなデータが取れるかを把握したうえで、アプリを経由せずにサーバのAPIを直接呼び出します。アプリ自体に脆弱性がなくても、サーバ側の認証・認可や入力値の検証に不備があれば、そのシステムの内部の仕様を理解した攻撃を受け、個人情報の漏えいにつながるおそれがあります。

狙われる弱点としてNICTは、認可の不備（IDOR）、SSRF、RCE、SQLインジェクションなどを挙げています。記事では、このうち内部の仕様を把握した攻撃に直接つながる認可の不備（IDOR：IDなどのパラメータを書き換えるだけで他人のデータにアクセスできる状態）を中心に解説しています。

架空の靴購入アプリを題材に、「注文IDを1つ変えるだけで他人の注文情報が返ってくる」といった危険な設計（NG）と、対策できている設計（OK）を４つの設計例で図解しました。ポイントは、正しいトークンで利用者を特定できる状態を作り、そのうえで、その利用者に許されたデータだけを返す、という２段構えの考え方です。アプリの中身は公開情報であり、APIはアプリを経由せず誰からでも直接呼ばれる。この前提に立ったAPIの設計を、具体例で確認できます。

＜記事はこちら＞
A2B攻撃への備え、大丈夫？ 〜具体例で対策を理解する〜
＜Auth0ブログ記事一覧＞

ログイン、本人確認、会員情報の管理など、ID基盤に関するご相談（設計・実装・運用）は、お問い合わせフォームからお寄せください。

※製品またはサービスなどの名称は、各社の商標または登録商標です。