狙われているAPIの脆弱性！今こそ手をつけるべき根本的な対策とは？

相次ぐ不正アクセスを受け、複数の公的機関がAPIの脆弱性や認証情報の悪用について注意を呼びかけています。この講演では、認可の不備や漏えいしたAPIキーの悪用など、運用時の監視・遮断だけでは対処しきれないリスクと、設計・開発段階から取り組むべき対策を解説します。APIの可視化と継続的なテストを支援するPostman、実キーを配布せずAPIアクセスを提供するPassportを通じて、具体的な対策の進め方をご紹介します。PostmanとCodeRabbitの共同ウェビナー「AI時代の攻撃に備える、APIとコードのセキュリティ対策」での講演資料です。

Transcript

1. 狙われている API の脆弱性！ 今こそ手をつけるべき根本的な対策とは？ 草薙 昭彦 テクノロジーエバンジェリスト © All rights reserved by Postman Inc
2. 直近で相次いでいる国内組織の不正アクセスに関する 注意喚起 個人情報保護委員会 （2026年10月7日） JPCERT/CC （2026年10月8日） NICT （2026年10月13日） WARNING 事例9「API が悪用 される事例」 「API 経由での不正な操作」を 攻撃類型として明記 公開アプリを解析し、バックエン ド API を突く「A2B 攻撃」を特定
3. 個人情報保護委員会 WARNING 事例9「API が悪用される事例」 ✦ API の管理漏れ（シャドー API） ✦ 認可（アクセス制御）の不備 ✦ 識別子の推測が容易（連番 ID） ✦ 過剰な情報を含むレスポンス ✦ レートリミット（大量要求制限）の欠如
4. JPCERT/CC ケース B「API 経由での不正な操作」 ✦ アプリ解析によるエンドポイントやキーの特定 ✦ 本来画面操作では実行できない内部 API への攻撃 ◦ ユーザー権限を変更する ◦ 不正なアカウントを作成する ◦ ヘッダーの有無の切り替えや不正な認証トークンの付与による応答の違いを確認 ◦ NoSQL インジェクションによるブラインド探索によってアカウント情報を特定 ✦ 窃取した API キーの悪用
5. NICT 「A2B 攻撃」（ App-to-Backend Attack） ✦ IDOR / BOLA（認可制御の不備） ✦ SSRF（サーバーサイドリクエストフォージェリ） ✦ SQLインジェクション ✦ RCE（リモートコード実行）
6. なぜ通信の監視だけでは 判断しにくい不正があるのか？ 認可の不備を突くアクセスや、 漏えいした有効なキーの悪用は、 正常な形式のリクエストに見える。 その人が、そのデータや機能を 利用してよいかは、通信の 形式だけでは判断しにくい。
7. 正しい形式・有効なキーでも不正アクセスは起きる ランタイム防御：異常な通信を止める ✦ 大量のリクエスト ✦ 既知の攻撃文字列 ✦ 仕様外の入力 通信量・パターン・形式から異常を検知し、遮 断する 一般的な対策： WAF / API Gateway による検知・遮断 正しい形式だが、権限の抜け穴を通る ✦ ログイン済みの利用者が、ID を変えるだけで他人 の注文を閲覧 ✦ 利用を終えたつもりでも、公開が残っている旧 API へのアクセス 有効なキーによる意図しないアクセス ✦ 端末・コード・設定ファイルから漏れた有効なキー で API を利用
8. 対策は？ 01✦ API 開発プロセスや設計の標準化 開発チームが標準的な開発プロセスに従うことで、一貫した API ガイドラインの適用 を 通して脆弱性リスクを抑え、API インベントリの継続更新と実環境との照合 により管理 漏れを発見・是正し、インシデントへの素早い対応が可能に 02✦ 網羅性の高い API テストの設計・実施 システムの設計・開発フェーズにおいて、 API テストを徹底。 正常動作の確認にとどま らず、エラーケースや境界値チェック、認可の検証パターンを網羅。テストはCI/CD ワークフローに組み込み 、自動化して一貫性を確保して効率化 03✦ API キーの管理の徹底 組織内で標準化されたシークレット管理システムを導入し、キーの権限の最小化・期限 の短縮とともに、無効化の制御を可能にする
9. Postman API カタログ API ガバナンスの標準化を実現し、組織内のAPI の状況を一元的に把握 ✦ どんな API が存在するのか、ど う連携しているのか、正常に動 作しているのか、誰が担当して いるのかを正確に把握 ✦ 接続されたリポジトリやゲート ウェイから API を自動検出し、 組織内に存在するサービスを反 映 ✦ API ガバナンスルールを適用 し、リアルタイムで状況を把握し てアラートを受け取る
10. Postman コレクションランナー データ駆動型の API テストでパターンを網羅し、CI/CD で自動化 ✦ 一連のテストシナリオをまとめて 実行し、日常的な検証のための 環境を提供 ✦ CSV/JSON やデータセットを使 い、利用者・役割・データ所有者 ・入力値を変えて反復実行。設 計した検証パターンを効率的に 確認 ✦ 手動実行はもちろん、スケ ジュール実行や CI/CD パイプラ イン内の実行にも対応
11. : シークレットレス API アクセス API キーを直接配布せず、安全に API アクセスを許可する仕組み ✦ 本物の API キーではなく資格情 報の“参照ˮを配布。プロキシを 介したアクセスで実キーに置き 換える ✦ 証明書ベースで利用者・端末を 認証し、承認された API へのア クセスを制御 ✦ API アクセスはすべて記録さ れ、管理者はいつでもアクセス の制限や無効化を実施可能
12. まとめ ✦ 直近で相次いでいる国内組織の不正アクセスでは、複数の公的機関の注意喚起で、 API経由の攻撃が取り上げられている ✦ 認可不備など、以前から指摘されている弱点が改めて悪用されている ✦ 運用時のセキュリティ対策では検知がしにくい不正アクセスに対しては、設計・開発 フェーズにおける「シフトレフト」の API セキュリティ対策が不可欠 ✦ Postman API プラットフォームは、後回しになりがちであった API セキュリティの向上 を支援し、API 脆弱性による不正アクセスのリスクを抑える ✦ Passport はキーを配布せずに安全な API アクセスを提供し、一歩進んだアクセス管 理を実現する