Androidアプリ難読化・A2B攻撃対策チェックリスト
A2B攻撃（App-to-Backend攻撃）とは、公開済みのAndroidアプリを解析して得た情報（APIキー、エンドポイント、通信仕様など）を使って
バックエンドサーバーを攻撃する手法です。AndroidManifest.xmlや
build.gradleの内容を貼り付けると、解析の足がかりになりやすい設定を自動チェックします。
左側にManifestやbuild.gradleの内容を入力すると、ここに判定結果が表示されます。
シェアする：
.png){kind=icon}
概要
AndroidManifest.xmlやbuild.gradleの内容を貼り付けるだけで、A2B攻撃（アプリ解析経由のバックエンド攻撃）の 標的になりやすい設定（デバッグ有効化、不要なexported設定、難読化無効、ハードコードされたキーなど）を自動診断するツールです。
※チェック処理はJavaScriptのみで行っています。サーバーに送信せず、ブラウザ内で完結しますので、未公開のソースコードやキー情報を貼り付けても安全です。
実務での活用例
社内SE・モバイルアプリ開発者の現場では、リリース前のビルド設定レビューやセキュリティチェックリストの運用で、 Manifestやbuild.gradleの危険な設定を見落としがちです。
💡 リリース前のビルド設定レビュー
状況: ストア公開前に、デバッグ用設定が本番ビルドに残っていないか最終確認したい
活用方法: release用のManifest・build.gradleをそのまま貼り付けて一括チェック
期待効果: debuggable="true"やminifyEnabled falseなどの見落としを防止
💡 外部委託アプリの受け入れ検査
状況: 委託開発されたアプリのソース一式を受け取り、セキュリティ観点で簡易レビューしたい
活用方法: 受領したManifestやbuild.gradleを貼り付け、危険な設定が残っていないか即座に確認
期待効果: 納品前チェックの効率化、監査証跡としてチェック結果をコピーして保存
💡 社内セキュリティ教育・勉強会
状況: モバイルアプリのセキュリティリスクを開発チームに実例で説明したい
活用方法: 「危険な設定例を読み込む」ボタンでサンプルを表示し、どの設定が何のリスクになるかをその場で解説
期待効果: A2B攻撃の手口と対策を具体的な設定項目レベルで理解できる
詳しい使い方
主な機能
- リアルタイム診断 - 入力するたびに自動でチェックが実行されます
- 8項目の危険設定チェック - debuggable・testOnly・allowBackup・平文通信・exported・難読化・リソース縮小・ハードコードキーを検査
- 危険度の色分け表示 - 🚨危険／⚠️注意／✅問題なしの3段階で一目で把握できる
- 結果のコピー - チェック結果をテキストでコピーし、レビュー記録や報告に利用可能
使い方の手順
- AndroidManifest.xmlやbuild.gradle（app側）の内容をコピーする
- 左側のテキストエリアに貼り付ける（自動でチェックが始まります）
- 右側に表示される判定結果（危険・注意・問題なし）を確認する
- 検出された項目を1つずつ修正する
- 必要に応じて「結果をコピー」で診断結果を保存・共有する
💡 チェック対象の設定項目
android:debuggable="true"- デバッグモードの有効化android:testOnly="true"- テスト専用ビルドの印の残留android:allowBackup- adb backup経由のデータ抽出リスクandroid:usesCleartextTraffic="true"- 平文HTTP通信の許可android:exported="true"- 他アプリからの直接起動・アクセスminifyEnabled/shrinkResources- 難読化・リソース縮小の有効化状況- APIキー・シークレットらしき文字列のハードコード
技術仕様とセキュリティ
すべての判定処理がブラウザ内の正規表現マッチングで行われ、入力内容はサーバーに送信されません。未公開のソースコードやAPIキーを貼り付けても外部に漏れません。
本ツールはテキストパターンに基づく簡易チェックです。実際のセキュリティ診断では、公式のLintチェックや専門家によるレビューも併用してください。
Chrome、Firefox、Safari、Edgeなど主要なモダンブラウザに対応しています。
登録不要で完全無料でご利用いただけます。