SQLインジェクションは個人情報を根こそぎ奪取

サイバー犯罪者たちは私たちの個人情報やお金を、どのような方法で盗むのでしょう？　ここではいま一般的に行われている攻撃手法のうち、大規模な個人情報漏えい事件を引き起こしたSQLインジェクションを解説。SQLインジェクションが個人情報を根こそぎ入手する手口を見ていきます。

SQLインジェクションのターゲット

今やインターネット上で行われるサービスは多岐に渡ります。インターネット通販やネットゲームなどを日常的に楽しんでいる人は少なくないでしょう。こういったサービスで必ず求められるのが各種個人情報の入力です。

有料、無料を問わず、たいていのインターネットサービスを受ける際、氏名やメールアドレスの入力は必須。有料サービスの場合には、クレジットカード番号や暗証番号などをサービス元のWebサイトに入力したり、登録したりすることが必要になります。

こういった個人情報の多くはデータベース化され、サービス元にとってはその後のサービスに欠かせない情報として、またユーザーにとってもサービスを受けるに当たって必要な情報として使用されるもの。こういった個人情報をターゲットにして根こそぎ奪取する方法の1つが「SQLインジェクション」です。

SQLインジェクションで情報漏えい

インターネットサービスで標準的に使用されるデータベース言語に、SQLがあります。ユーザーから見て、ユーザーがデータベースにアクセスする場合、Webサーバとデータベースサーバ間においてはSQL文で検索やデータの要求や引き出しなどのやりとりがなされるのです。

このSQL文に特殊な文を挿入（インジェクション）することにより、セキュリティの脆弱なデータベースサーバから本来引き出すことのできないはずのデータを根こそぎ入手することが可能。これがSQLインジェクションです。

このSQLインジェクションの手法を使い、情報漏えいがおきたといわる事例が、2011年にソニーが運営するPlaystation Networkで起きた個人情報流出事件になります。この事件では外部からの不正アクセスによりサービスが停止。そしておよそ7,700万人分の個人情報が漏えいしたといわれています。

■「SQLインジェクション」おすすめ記事
SQLインジェクションで被害に遭わない防衛策