アプリに登録した個人情報はどこに保存されるのか

公式アプリから個人情報が流出する原因の一つは、企業が管理するサーバーへの不正アクセスです。スマホにウイルスが感染したり、利用者が怪しいサイトを開いたりしなくても、企業側のシステムが攻撃されることで情報が流出する場合があります。

買い物アプリで商品を購入するとき、氏名や配送先、購入履歴などの情報は、サービスの仕組みに応じて企業のサーバーに保存されます。サーバーとは、利用者からの要求を受け取り、情報の保存や処理を行うコンピューターのことです。

アプリを開いて過去の購入履歴を表示するときは、企業のサーバーに問い合わせ、そこから送られてきた購入履歴を画面に表示する仕組みが使われています。

このように、アプリの画面の裏側で会員情報の管理や注文処理などを行うシステムは、バックエンドと呼ばれています。私たちが普段操作しているのはアプリの画面ですが、サービスを動かすための多くの処理は、企業側のバックエンドで行われています。

そのため、個人情報を守るにはスマホ本体の安全性に加えて、情報を預かる企業のサーバーが適切に管理されていることも必要になります。

企業のサーバーに弱点があると情報が流出する

企業のサーバーには、ログインした利用者が自分の情報だけを閲覧できるようにする仕組みがあります。

ところが、プログラムの作り方や設定に問題があると、想定していなかった操作を受け付けたり、本来は閲覧できない情報を返したりする場合があります。こうした悪用される可能性のある弱点を、セキュリティの分野では脆弱性（ぜいじゃくせい）と呼びます。

ここで関係するのが、「認証」と「認可」という二つの仕組みです。

• 認証：ログインしてきた人が、登録された本人であることを確かめる仕組み
• 認可：その人が、特定の情報を見たり変更したりする権限を持っているか確かめる仕組み

Aさんが正しいパスワードでログインすると、サーバーはAさん本人であることを確認します。さらに、購入履歴を表示するときには、Aさん自身の履歴かどうかを確かめ、Bさんなど他人の情報を見られないようにします。

普段の操作では自分の購入履歴が正しく表示されるため、問題なく利用できます。ところが、攻撃者は公開アプリを解析して通信方法を調べ、パソコンの専用ツールから企業のサーバーへ直接要求を送れます。その際、他人の注文番号を指定した場合に、サーバー側で購入履歴の持ち主を正しく確認する仕組みがなければ、その人の購入履歴を取得できてしまうおそれがあります。

なぜ、このような欠陥が残るのでしょうか。開発時には、自分の購入履歴が正しく表示されることに加え、他人の注文番号を指定したときにサーバーが情報を返さないこともテストする必要があります。こうした不正な操作を想定したテストが不足すると、普段は正常に動いていても、攻撃に悪用される弱点が残ってしまうのです。

攻撃者は公開アプリから何を調べるのか

2026年10月13日、国立研究開発法人情報通信研究機構（NICT）は、公開されているAndroidアプリを解析し、接続先のサーバーを攻撃する「A2B攻撃」を確認したと発表しました。A2Bは「App-to-Backend」の略で、アプリから得られた情報を手掛かりに、その裏側のシステムを狙う攻撃です。

アプリは多くの利用者がダウンロードできるように公開されています。そのため、攻撃者も同じアプリを入手し、内部のプログラムや通信の仕組みを詳しく調べることができます。

そこで手掛かりになるのが、アプリとサーバーの間で情報をやり取りするAPI（エーピーアイ）という仕組みです。

買い物アプリで利用者が購入履歴のボタンを押すと、アプリはAPIを使ってサーバーに問い合わせ、該当する購入履歴が送り返されます。

このやり取りには、どのサーバーへ接続するのか、どの機能を呼び出すのか、どのような情報を送るのかといった決まりがあります。攻撃者は公開アプリを解析することで、こうした通信先や要求の形式を調べるのです。

NICTのサイバーセキュリティネクサス（CYNEX）が公開したA2B攻撃に関する注意喚起によると、攻撃者は取得した情報をもとに、対象となるサーバーの仕様に合わせた攻撃を行います。

調べた情報を使ってサーバーを攻撃する仕組み

A2B攻撃では、攻撃者がアプリを解析した後、通常の画面操作とは異なる方法でサーバーに要求を送ります。画面に用意されていない操作を試したり、送信する情報を変えたりして、サーバーがどのように反応するかを調べます。

2026年10月8日にJPCERT/CCが公開した国内組織への不正アクセスに関する注意喚起でも、スマホアプリの解析によってAPIの接続先などを特定し、本来の画面操作では実行できない内部機能に不正な要求を送る事例が報告されています。

攻撃が成立するかどうかは、サーバー側の作り方や設定によって変わります。NICTは重点的に点検する弱点として、次の4種類を挙げています。

• IDOR：情報を指定する番号などを変えることで、本来は権限のない他人の情報を閲覧・操作できてしまう問題
• SQLインジェクション：データを検索する仕組みに不正な命令を送り込み、保存情報の取得や変更などを引き起こす攻撃
• SSRF：攻撃者がサーバーに不正な接続要求を処理させ、通常は外部からアクセスできないシステムなどへ通信させる攻撃
• RCE：外部からサーバーに本来予定されていないプログラムや命令を実行させる攻撃

会員情報や購入履歴などは、必要な情報を検索できるように整理されたデータベースに保存されています。SQLインジェクションは、サーバーが受け取った文字列を安全に処理せず、データベースへの命令に組み込んでしまうことで起こる問題です。

また、SSRFやRCEが悪用されると、サーバーに不正な通信やプログラムの実行をさせられる場合があります。いずれも攻撃の内容や被害は、サーバーの構成と弱点によって異なります。

今回の攻撃では、公開アプリの解析が、企業のサーバーに残された弱点を探す手掛かりになります。

NICTはAndroidアプリを中心に注意喚起していますが、同様の問題はiPhone向けのiOSアプリやWebサービスでも発生する可能性があります。攻撃者に通信方法を知られることを前提に、サーバー側で不正な要求を防ぐ仕組みが必要になります。

AIがアプリの解析や弱点探しを効率化する

アプリを解析して通信先を調べたり、サーバーの弱点を探したりする方法は、以前から知られていました。近年は、こうした作業の一部にAIを利用できるようになり、攻撃者が調査にかける時間や手間を減らせる可能性が指摘されています。

アプリのプログラムを調べる場合、人間の技術者は大量のコードを読み、どこでサーバーと通信しているのかを探します。コードとは、コンピューターに処理の内容を指示するために書かれたプログラムのことです。

AIは、こうしたコードの内容を整理したり、通信に関係する処理の候補を挙げたりする作業を支援できます。人間が一つずつ調べていた部分を効率化できれば、解析に必要な作業量が減ります。

サーバーの弱点を探す場合も、AIにプログラムの処理内容を説明させたり、不自然な入力を受け付ける箇所を調べさせたりすることで、人間の調査を補助できます。

NICTも2026年10月13日の発表で、AIの活用によってアプリ解析や脆弱性の発見が効率化されることを指摘しています。

今回確認されたA2B攻撃については、公開アプリの解析結果を悪用してサーバーを狙う手法が確認されています。AIによる効率化は、その手法が今後さらに広がる可能性として示されたものです。

攻撃対象が多くのサービスへ広がる可能性

AIによってアプリの解析や弱点探しが効率化された場合、一つのサービスを調べるために必要な作業が減り、攻撃者が調査できる対象が増える可能性があります。

攻撃者がAIを悪用した場合、公開されている多数のアプリについて通信先やプログラムの特徴を整理し、どのアプリから調べるかを決める作業まで効率化されることが懸念されます。

サービスを提供する企業から見ると、これまで十分に調べられていなかった古いアプリや、利用者の少ない機能も、攻撃者に調べられるおそれがあるのです

この問題に対応するため、企業には公開しているアプリと、その裏側にあるサーバーやAPIの継続的な点検が求められます。

実際にNICTは、サーバーへの不審なアクセスの調査、弱点の点検、不要なAPIの停止やアクセス制限などを事業者に推奨しています。また、IPAも2026年10月9日に、相次ぐ不正アクセスを受けてシステムの認証機能や権限設定などの見直しを呼びかけました。

攻撃者による弱点探しが効率化されるなら、企業側も問題を発見して修正するまでの時間を短縮する必要があります。AIは企業がプログラムを点検する作業にも活用できるため、今後は攻撃と防御の双方で、その使い方が問われることになります。

アプリに登録する個人情報を必要最小限にする

企業のサーバーが攻撃される問題では、利用者自身がサーバーの弱点を修正することはできません。それでも、サービスに預ける情報を減らすことで、万一の流出時に影響を受ける情報の範囲を小さくすることはできます。

アプリによって、会員登録時に求められる個人情報は異なります。買い物アプリでは商品の配送に住所が必要ですが、店舗で利用するポイントサービスなら、住所を登録する必要性は低くなります。

利用目的がよく分からない個人情報まで登録を求められたときは、そのサービスを使う必要があるのか考えてみましょう。同じようなサービスがあるなら、登録する個人情報が少ないものを選ぶことをおすすめします。

以前使っていたサービスも、登録情報が残っていないか調べてみましょう。退会や情報削除の機能が用意されていれば、利用状況に合わせて整理するとよいでしょう。退会後も一定期間保存される情報があるため、企業の削除方針も確認できます。

同じパスワードを複数のサービスで使用していると、一つのサービスからパスワードが流出した際に、別のサービスへの不正ログインにつながる危険があります。サービスごとに異なるパスワードを設定し、利用できる場合は多要素認証も有効にしましょう。

多要素認証を設定すると、パスワードに加えて、スマホに届く確認通知や認証アプリなどを使って本人確認を行います。

情報流出が発表されたら何を確認する？

利用しているサービスで情報流出が発表された場合、最初に確認したいのは、どのような情報が流出したのかという点です。メールアドレスだけの場合と、パスワードや決済情報まで含まれる場合では、必要な対応が変わります。

企業の公式サイトやアプリ内のお知らせを開き、流出した情報の種類、影響を受ける利用者の範囲、企業が案内している対応を確認します。メールやSMSで通知が届いた場合も、リンクをすぐに開くのではなく、普段利用している公式サイトやアプリから情報を調べるようにしましょう。

メールアドレスと氏名が流出した場合、攻撃者が本物の企業からの連絡に見せかけたメールを送り、偽サイトへ誘導することが考えられます。こうした方法はフィッシングと呼ばれ、偽サイトでパスワードやクレジットカード情報などを入力させる手口があります。

また、流出した情報にクレジットカード情報が含まれる場合は、カード会社の案内に従い、利用明細の確認や必要な手続きを進めます。

スマホからアプリを削除しても、企業のサーバーには登録した個人情報が残る場合があります。個人情報も削除したい場合は、サービスが用意している退会手続きや登録情報の削除方法を確認します。

情報流出が起きた際は、流出した情報の種類を調べ、それに合った対応を取ることが基本になります。

公式アプリの利用者にどこまで自己防衛を求めるのか

今回の情報流出の仕組みを調べて、私が気になったのは、利用者がどこまで自分の責任で個人情報を守るべきなのかということです。

公式アプリを利用するとき、多くの人は企業が提供しているサービスを信頼して会員登録をしています。買い物や銀行など、日常生活に必要なサービスであれば、個人情報を登録すること自体を避けるのも難しいでしょう。

利用者が強固なパスワードを設定し、不審なメールを開かないようにしていても、企業のサーバーから情報が流出することはあります。企業のサーバーにある弱点を利用者自身が修正することはできず、情報流出を個人の対策だけで防ぐことはできません。

利用者自身ができる対策に取り組むことは大切です。一方、個人情報を預かる企業には、その情報を適切に管理し、不正アクセスや情報流出を防ぐための対策を講じる責任があります。

特に気になるのは、利用者から企業の安全対策の実情がほとんど分からないことです。公式アプリであることや企業の知名度は分かっても、サーバーの弱点が定期的に点検されているか、個人情報へアクセスできる範囲が適切に制限されているかまでは調べられません。

私は、利用者への安全対策の呼びかけとともに、企業が情報を預かる責任をどのように果たしているのかを説明することが必要だと考えます。

企業のセキュリティ対策と費用負担をどう考えるか

企業に十分なセキュリティ対策を求めるとしても、現実には費用や人材の問題があります。新しいサービスを開発する費用に加え、運用を続けながらプログラムの弱点を点検し、発見された問題を修正していくには、継続した投資が必要です。

特に小規模な企業では、専門の担当者を確保することが難しく、外部の開発会社や保守会社にシステムの管理を任せている場合もあります。安全対策を強化するための費用が、サービスの料金に反映される可能性もあるでしょう。

その事情は理解できますが、費用不足を理由に個人情報の安全対策が不十分な状態を放置するのであれば、サービスの運営方法そのものを見直すべきではないでしょうか。

企業が保有する個人情報を減らせば、漏えいした際に流出し得る情報の量も少なくなります。企業は事業に必要な情報だけを保有し、具体的な利用予定がない個人情報については、削除を進めるべきだと考えます。

企業がシステムを外部へ委託する場合、開発後の弱点の点検や修正について、どこまで委託先が担当するのかを明確にする必要があります。新しい機能の開発ばかりを優先し、安全対策の費用を後回しにしていては、問題が発生したときに利用者へ大きな影響を与えかねません。

企業の規模によって使える予算には差があります。それでも、個人情報を扱う以上、アクセス権限の管理、既知の弱点の修正、不正なアクセスの監視など、基本的な安全対策を継続するのは当然の責任です。こうした対策を実施できないのであれば、そもそも個人情報を扱うサービスを提供すべきではないと考えます。

さらに、個人情報を大量に扱う企業ほど、漏えいした際に影響を受ける人数や情報の種類も増える可能性があります。対策費用を考える際には、開発や運用にかかる金額と、情報流出によって利用者に生じる被害の両方を考慮するべきでしょう。

企業は個人情報の管理方法をどこまで説明するべきか

利用者がサービスを選ぶ際、個人情報の取り扱いについて知る手段として、企業のプライバシーポリシーがあります。そこには情報の利用目的や取り扱いなどが記載されていますが、内容が長く、専門的な表現も多いため、すべてを読んでから会員登録する人は少ないのではないでしょうか。

個人情報保護委員会も、利用する必要がなくなった個人データを適切に消去することが、情報漏えいの防止に役立つと説明しています。企業には、個人情報を集める段階から利用を終えた後まで、適切な管理が求められています。

私は、企業が個人情報をどのように管理しているのか、利用者が短時間で読んで理解できるように説明することを提案したいと思います。

会員登録の画面や設定画面で、次のような情報を分かりやすく示す方法があります。

• 登録する個人情報の種類と、それぞれの利用目的
• 個人情報を保存する期間と、不要になった情報の削除方針
• 退会するときに削除できる情報と、保存が続く情報
• 情報流出が起きた場合の連絡方法と問い合わせ先

安全対策についても、利用者が理解できる範囲で説明することが考えられます。不正なアクセスを監視しているか、システムの弱点を定期的に点検しているかなど、取り組みの概要を公開する方法です。具体的なシステム構成や攻撃に利用される情報まで公開する必要はありません。

こうした説明には企業側の負担も伴いますが、すでに社内で定めている情報管理の方針を整理し、利用者向けに伝えることから始められます。

個人情報を集めるときだけ丁寧に説明するのではなく、預かった後の管理や削除についても利用者に伝える。そのような姿勢が、公式アプリやWebサービスへの信頼を支えるのではないでしょうか。