【IT/セキュリティー】サイトに登録の個人情報が標的―ＳＱＬインジェクションが急増 中国からの攻撃が大半　[11/16]

サイトに登録の個人情報が標的――ＳＱＬインジェクションが急増

サイトの欠陥を突き、登録情報を盗難・改ざんする「ＳＱＬインジェクション」と呼ばれるネット侵入が急増している。
中国からの攻撃が大半で、侵入用のソフトが出回っていることが被害拡大に拍車をかける。サイト運営者は、セ
キュリティー態勢の一層の強化を求められている。

難しい完全な防御
「学費を稼ぐため１人でやった」。価格比較サイト「価格・ｃｏｍ」など14社から約52万件の個人情報を盗んだとして
昨年７月に逮捕された中国人留学生（27）は、犯行理由をこう語った。このとき使われた手口がＳＱＬインジェクシ
ョンである。

ＳＱＬ（Structured Query Language）とは、データベースを操作するためのコンピューター言語。多くのサイトでは、
ウェブサーバーからデータベースサーバーに情報を取りにいくシステムを採用している。攻撃者は、データベース
サーバーへの指示に外部操作が可能になるＳＱＬコマンド（命令文）を潜り込ませることで、データベースの情報を
直接削除したり、盗んだりする。

セキュリティー監視サービス会社大手のラック（東京都）によるとＳＱＬインジェクションによる攻撃が確認されたの
は２０００年ごろ。それが、昨年後半から攻撃件数が急に増え始め、１つの攻撃元から１００〜１０００件、多いときに
は数千件、数万件もの攻撃がサイトに向けられるようになった。今年の件数は、前年の約３倍という急増ぶりだ。

ＳＱＬインジェクションの被害に遭うと、サイトからは膨大な顧客情報が一挙に漏れてしまう。ちなみに、この犯人が
手に入れたのは住所、氏名、メールアドレス、クレジットカード番号など。ネットに広告を出し、メールアドレスは１件
当たり１円未満〜２円でスパム（迷惑）メール送信業者に売り渡していた。

サイト側はどんな対策を取ればいいのか？

「完全に防御するのは、非常に難しいです」と語るのは、同社ＳＮＳ事業本部の川口洋さん。

「サイトのシステムが次第に巨大になり、それにかかわっている技術者も多くなるとプログラムの欠陥をチェックする
のは大変な作業です」

セキュリティー態勢が脆弱なサイトは、グーグルなどの検索エンジンにキーワードを入れるだけで簡単に探し出せ、
標的にされるという。中小サイトだから狙われないと思い込むのは、非常に危険なのだ。

攻撃用ソフト出回る
驚くべきことに、同社が攻撃元のＩＰアドレスを分析したところ、８割を中国が占めていた。04年の後半あたりから、中国
語に翻訳された攻撃用ソフト「ＳＱＬ注入工具」などが出回り始めており、ほとんどがこのソフトを使っての攻撃と見られ
る。掲示板によっては詳しい使い方が掲載され、攻撃先の日本企業が指示してあるという。

「被害の多さに悲鳴を上げ、中国から自社サイトへアクセスできないよう検討している企業もあります」（川口さん）

ＳＱＬインジェクションによる攻撃は、セキュリティーに関するさまざまな問題を浮き彫りにした。

標的になるのは企業サイトだが、最終的な被害者は情報が流出した個人の利用者だ。いくらスパイウエアや不正アクセ
スを警戒したとしても、投網をかけるようにサイトから登録情報の一切合切を盗まれたら、もはや防ぎようがない。クレジッ
トカードを不正に使われてから初めて、カードの情報を盗まれたことに気づくケースもある。

また仮想商店街でサイト主宰者がシステムを管理し、加盟店側がデータを管理している場合、情報が漏れた際の責任の
所在は明らかでない。

サイト側が監視・防御体制を整えようにも、中小サイトでは高額の負担がネックになっている。

ＳＱＬインジェクションによる攻撃は今後も続くと見られ、サイト側はセキュリティー態勢の見直し、強化を求められている。
（林　宗治・編集部／2006年10月24日発売「YOMIURI PC」１２月号から）

（2006年11月16日 YOMIURI PC）
ソース：読売新聞
http://www.yomiuri.co.jp/net/frompc/20061115nt03.htm

2誰？

ﾆﾀﾞ

中国との回線を切断でいいよ

通名だから問題ないﾆﾀﾞ

中華と半島下からのアタックが鬱陶しいんですが
ping飛ばして来るんじゃねーよまったく

＞驚くべきことに、同社が攻撃元のＩＰアドレスを分析したところ、８割を中国が占めていた。

驚くことじゃないだろ。

しかしこの国はwww

個人も国家も外国へ総攻撃だな

SQLインジェクションなんてちゃんと処理してれば
問題なんて出ない。
納期を急いだ・開発費をケチったつけが回ってるだけだ

売ったのがメルアドだけなら、ずいぶん良心的な中国人だが・・・

>>10
メルアドだけじゃ、売っても金にならないんじゃない？

>9
結論出すの早すぎwww

中国人を見たら犯罪者と思え

時にはなるお^^

中国って一意のネットワークだから、フィルタしちゃうのがいいよな
これって、核兵器より強力な経済封鎖になると思うよ

>>9
極小規模のシステム開発しか経験した事無い人なんだね・・・ｶﾜｲｿｽ


自社のシステムの欠陥を発見した時はどうしようかと思うよ
おかげで対策PMにされちまったし・・・言わなけりゃよかった

>また仮想商店街でサイト主宰者がシステムを管理し、加盟店側がデータを管理している場合、情報が漏れた際の責任の
>所在は明らかでない。

楽天は使うなということだね。

異論・反論・インジェクション

>>15
どうせあっちもフィルタリングしているんだし
あっちからの接続なんて碌なものが無いんだから
国際的に切り離しちまえばいいんだよねｗ

MMOのゴールドファーマー問題もだいぶましになる

最終的に一個のテキストになってコードとデータがごちゃまぜだからねぇ．
しかも外部由来のデータが．

SQL自体が根絶されない限り問題はなくなるまいよ．

通す方が無能だな。

中韓切れば激減する

中国人是黒道、

すでにうちは中韓からのアクセスを遮断した。

>>16
また妄想っすか？ｗｗ　

>>20
外部からのデータはフレームワークでエスケープ。
入力内容をSQLに反映させるのはPreparedStatementで。

ＳＱＬを使わないように。いまさら無理だけど

SQL水着

>>26
安全にする手段があったところで解決にはならない．
デフォルトが危険なんだから，
世の中からSQL Injectionをなくすことはもはやムリ．
100年ぐらいたてばSQLが消滅してくれる可能性も多少はあるかもだが……

>>1
はいはいチャイナリスク
親中派氏ね

中国人を見たら泥棒と思え

>>29
中国人を排除すればオケ

SELECT COUNT(*) FROM 2chネラー
WHERE JOB = 'NEET';













タイムアウトしました。

中朝方面は管理者の設定スキルが低いから、ネームサーバから逆引きできなくて、判別が手間なのが困るよ。

>>29
すみません。SQLがデフォルトで危険というのは何故でしょうか？

SQLの仕様が危険だと、セキュアではないと、そういう意味でしょうか？

>>34
そりゃコマンドを投げたらデータが取り出せるんだから危険だろ
格納したデータはどうやっても取り出せないようにしないと

…あれ？

>>7
ニダーランドの割合が予想よりも少なかったということでは？
私は上下ニダーランド５、宗主国様４、その他１くらいだと思っていました。

>>32 ふむ、データが多量だと安全かもしれないｗ

それはともかく、SQLインジェクションなんて構文解析ではじけよ。

>>1
SELECT * FROM DUAL

あれ？
コッド博士他界してん？

Select * from The_Koreas where hwabyung=no

パンチカードに写して郵送だなｗ

そもそもなんでインターネットからデータベースへアクセスできるん？
当然cgiからはできるんだろうけど、それってhttpサーバー上で
任意プログラムが実行されてしまっているってことだよね。
よくわからん

例えば会員登録画面などで、入力した値をWeb/APサーバ上のアプリが受け取ってDBに登録するイメージ。

アプリがクソだと、住所などの入力欄にSQLの続きをいれると、SQL文としてDB上で実行してしまう。

通常はバインド変数の使用や入力値チェック、エスケープ処理などで回避されている。

あくまでもアプリ開発者が埋め込んだ不具合。

これをSQL言語のせいにするのはおかどちがい。