情報窃盗を狙うSQLインジェクション攻撃が急増――クラウド事業者が報告

[鈴木聖子，ITmedia]

　企業のデータベースなどから情報を盗み出そうとするSQLインジェクション攻撃が急増しているという。クラウドホスティングを手掛けるFireHostがまとめた2012年4〜6月期のサイバー攻撃動向報告書で明らかにした。

　報告書では、FireHostのホスティングサービスを利用している顧客のWebアプリケーションとデータベースに対する攻撃を食い止めた事例について、攻撃の手口などを分析した。

　それによると、4〜6月期に発生した攻撃の手口として最も多かったのはディレクトリトラバーサルで、全体の43％を占めた。次いでクロスサイトスクリプティング（XSS）が27％、SQLインジェクションが21％、クロスサイトリクエストフォージェリ（CSRF）が9％の順だった。

　中でもSQLインジェクション攻撃は、1〜3月期の27万7770件から4〜6月期は46万9983件へと69％の急増を記録した。この手口はデータベースに格納されたユーザーの個人情報やクレジットカード番号などの情報を盗み出す目的で使われることが多く、2011年に起きたソニー関連企業からの情報流出をはじめ、最近ではLinkedInやYahoo!などの情報流出も、SQLインジェクション攻撃が仕掛けられた疑いがあるという。

　FireHostは「極めて多くのWebサイトがこの手口によって顧客情報を流出させている。SQLインジェクション攻撃は自動化されていることも多く、Webサイト運営者の多くは自社のデータが危険にさらされていることに気付いていない。こうした攻撃を検出することは可能であり、企業は攻撃を食い止めるための基本的かつ包括的対策を講じる必要がある」と警鐘を鳴らしている。