SQLインジェクションの対策に

SQLインジェクションとは

Webアプリケーションの運営において、最も注意が必要な脆弱性（セキュリティインシデント）のひとつです。
例えば検索フォームやログイン画面など、SQLを用いたデータベース操作を行うシステムにおいて、SQL文の作成機能に問題があるとデータベースを不正に操作されてしまう可能性があります。

SQLインジェクションの脅威

Webアプリケーションからの情報漏えい事件の原因は、その多くがSQLインジェクションを利用した不正アクセスによるものです。悪意のある攻撃者によってデータベース上にあるユーザーの個人情報が盗まれたり、Webサイトを改ざんされるなどの被害につながります。
個人情報が流出した場合、Webサイト運営者が多額の賠償費用を負う必要があることは言うまでもありませんが、場合によってはそのWebサイトを制作した開発会社に賠償責任が発生することもあるため、SQLインジェクション対策はWebサイト運営者と開発会社の双方にとって必須なのです。

実際にあった被害例

• ショッピングモールのメールマガジンサービスにおいて、2017年5月から2018年1月の間、SQLインジェクション攻撃を用いた複数回にわたる不正アクセスがあり、メールアドレスとパスワードの組み合わせ約24万件、メールアドレスのみ約3万件が流出。
• 2017年5月にキャンペーンサイトがSQLインジェクション攻撃され、応募者の個人情報が2700件流出。
• SQLインジェクションによってECサイトのクレジットカードデータが7000件以上流出。発注企業が開発ベンダーに１億円の損害賠償請求を提訴し、2262万円の損害賠償金支払いが命じられた。
• 2017年2月にWebサーバがSQLインジェクション攻撃され、クレジットカード情報を含む顧客情報が最大13万件流出。

このように、最近でも本脆弱性は存在し、実際に多くの被害が出ています。