NICT warnt vor A2B: Fünf Maßnahmen sollen Backend-Angriffe abwehren
Veröffentlicht am: 13.10.2026 um 22:42 Uhr | Redaktion boerse-global.de
Das japanische Forschungsinstitut NICT hat eine neuartige Angriffsmethode namens A2B (App-to-Backend Attack) als eine der wesentlichen Ursachen für anhaltende Datenabflüsse in Japan identifiziert.
Bei diesem Vorgehen analysieren Angreifer öffentlich zugängliche Android-Anwendungen, ermitteln daraus Backend-Server, API-Endpunkte sowie Parameter und attackieren anschließend gezielt die Serverinfrastruktur.
Wie aus Berichten hervorgeht, muss die Smartphone-Anwendung selbst dabei keine Sicherheitslücke aufweisen. Entscheidend seien vielmehr serverseitige Defizite bei der Authentifizierung und der Eingabevalidierung.
Nach Angaben des Instituts laden Angreifer reguläre Android-Apps aus dem japanischen Google-Play-Store herunter, um maßgeschneiderte Angriffe für die jeweiligen Backends zu entwickeln.
Ein Schaden könne demnach entstehen, ohne dass die mobile App übernommen oder das Endgerät des Nutzers mit Schadsoftware infiziert werden müsse. Obwohl Android-Apps im Fokus der aktuellen Untersuchungen stehen, gelte das Sicherheitsrisiko gleichermaßen für iOS-Anwendungen sowie allgemeine Web-Backend-Schnittstellen.
Schwachstellen im Backend und betroffene Dienste
Als primäre Angriffsziele auf Serverebene nennt das Institut serverseitige Request-Fälschungen (SSRF), entfernte Codeausführungen (RCE), SQL-Injektionen sowie unsichere direkte Objektreferenzen (IDOR/BOLA).
Das Institut, das unter der Leitung von Präsident Hideo Ohno steht und selbst keine individuellen Systemdiagnosen durchführt, betont, dass die Ursache vieler Datenlecks bei Mitgliederdiensten nicht auf Schwächen in den Apps zurückzuführen sei.
Verwiesen wird dabei auf Vorfälle rund um die Lawson ID und einen Reservierungsservice, die Mitgliederdaten der Yakiniku-King-App sowie personenbezogene Daten bei einer Anwendung der Japan Post. Berichte beziffern das Ausmaß auf über 300 Millionen betroffene Personen bei einem gleichzeitigen Anstieg unautorisierter Zugriffe.
Wer sich mit der Sicherheit mobiler Anwendungen und dem Schutz vor Datenmissbrauch befasst, sollte die grundlegenden Abwehrmöglichkeiten für das eigene Gerät kennen. Dieser kostenlose Ratgeber zeigt Ihnen 5 einfache Schritte, um Ihr Android-Smartphone effektiv gegen unbefugte Zugriffe abzusichern. 5 Schutzmaßnahmen jetzt entdecken
Zudem warnte das Institut davor, dass der Einsatz von künstlicher Intelligenz die App-Analyse und die Suche nach Schwachstellen beschleunige. Konkrete Angriffsbeispiele oder quantitative Belege für eine Schadensausweitung durch KI lägen zwar derzeit nicht vor und ein tatsächlicher KI-Einsatz bei diesen Angriffen sei bislang nicht bestätigt. Dennoch bestehe das Risiko, dass derartige Technologien die Vorfälle eskalieren lassen und auf weitere Systeme ausweiten könnten.
Warnungen von Behörden und empfohlene Schutzmaßnahmen
Das Ministerium für Innere Angelegenheiten und Kommunikation warnte gemeinsam mit dem Forschungsinstitut vor der A2B-Methode. Auch das Ministerium hob hervor, dass es zu Informationsabflüssen kommen könne, wenn der angebundene Server verwundbar sei, selbst wenn die Anwendung fehlerfrei funktioniere.
Bereits am 09.10.2026 hatte das Ministerium eine Warnung ausgesprochen und fünf Maßnahmen gefordert: eine zügige Behebung von Schwachstellen, den Einsatz von Multi-Faktor-Authentifizierung, Schutzmechanismen gegen den Missbrauch bereits abgeflossener Daten, die Einbeziehung von Dienstleistern sowie eine klare Führungsverantwortung.
Weitere behördliche Warnungen folgten in den vergangenen Tagen durch die Persönlichkeitsrechtskommission am 07.10.2026, das Nationale Cyber-Hauptquartier am 09.10.2026 sowie durch JPCERT/CC am 08.10.2026, das die Überschneidung mit unautorisierten Operationen über Schnittstellen thematisierte.
Zur Abwehr empfiehlt das Institut ein dreistufiges Vorgehen aus Kompromittierungsprüfung, Schwachstellenanalyse und vorläufigen Gegenmaßnahmen. Vorübergehend sollten betroffene Zugriffsquellen blockiert und unnötige Schnittstellen abgeschaltet werden.
Angesichts immer komplexerer Bedrohungen durch Hacker und Viren ist ein proaktiver Schutz für jeden Smartphone-Nutzer unerlässlich. In diesem gratis PDF-Ratgeber erfahren Sie, wie Sie Ihr Android-Gerät in wenigen Minuten gegen aktuelle Cyber-Risiken absichern können. Kostenlosen Sicherheits-Ratgeber herunterladen
Für eine detaillierte Prüfung rät die Forschungseinrichtung zur Erstellung eines vollständigen Inventars aller Schnittstellen und Hosts inklusive Subdomains, alter API-Versionen und Testumgebungen. Zudem sollten Systemprotokolle rückwirkend ab August 2026 auf bekannte Kompromittierungsindikatoren untersucht werden.
In diesem Zusammenhang veröffentlichte das Institut drei verdächtige IP-Adressen (69.10.51[.]162, 210.149.87[.]120 und 207.241.172[.]54), die allesamt auf den Warnlisten von JPCERT/CC geführt werden.
Als dauerhafte Schutzmaßnahme mahnt das Institut eine strikte serverseitige Authentifizierung, Autorisierung und Eingabevalidierung an, da Schnittstellen von Angreifern direkt angesteuert werden können. Sensible Verbindungsdaten dürfen demnach keinesfalls im Quellcode der mobilen Anwendung hinterlegt sein.
