SQLインジェクションとは？種類・感染原因と対策を徹底解説

この記事は約 4 分で読めます。

今回は、サイバー攻撃の1種であるSQLインジェクションについて解説します。SQLインジェクションは特に中小企業のECコンテンツにとって脅威であり、登録ユーザーのカード情報などの、致命的な情報漏洩に繋がります。

SQLインジェクションとは？

SQLインジェクションとは、管理サーバーのデーターベースを参照することでサービスを提供するWEBサイト（ショッピング系ECサイトなど）に対して、本来サイト側が想定している命令とは別のSQL文章を送信することで、不正に個人情報や機密情報を引き出すというサイバー攻撃です。

詳細は後述しますが、過去多くの企業がSQLインジェクションによる攻撃を受け、莫大な被害を被っています。

根本的な原因は、WEBアプリケーションが不正アクセスの意図があると知らず、外部から送信されたSQL文章を誤解してしまうことにあります。

と言うのも、WEBアプリケーションの多くは、ユーザーが入力した情報をSQLと呼ばれる言語に変換することで動作しています。攻撃者はこの性質を利用して、「カード情報を開示しろ」とSQL形式で命令を送ります。

その結果、上記のような正規の命令だと認識する「誤解」が起きてしまい、情報が流出してしまうわけですね。

SQLインジェクションによる攻撃を受けると、データーベースに記録されている情報が抜き出されてしまいます。被害は攻撃者が求めている情報によりますが、企業コンテンツが攻撃対象となった場合は、とくに以下の被害が懸念されます。

SQLインジェクションはウイルスやトロイの木馬と異なり、攻撃対象にファイルやアプリケーションを仕込む準備が必要がありません。したがって、攻撃受ける側は突然攻撃を受ける立場になる点も驚異です。

ウイルス・トロイの木馬についての詳細はこちらから
▷コンピューターウイルスとは？その種類・感染原因と対策を徹底解説
▷トロイの木馬とは？その種類・感染原因と対策を徹底解説

SQLインジェクションによる被害はカード情報が中心。攻撃を受けた企業が被る被害は甚大です。

2005年	クラブツーリズム情報漏洩事件	中国人留学生による犯行、カード情報を含む個人情報が漏洩。
2006年	スカイソフト情報漏洩事件	スカイソフト顧客のカード情報約5,000件が漏洩。スカイソフトオンライン書店は閉店。
2013年	エクスコムグローバル情報漏洩事件	カード情報など10万件以上が漏洩。