SQLインジェクションとは？攻撃例や効果的な対策を徹底解説

SQLインジェクションはウェブセキュリティの3大脆弱性の一つで、攻撃を受けると個人情報漏えいの原因となります。
企業や個人に関わらず、サイバー攻撃やデータ管理の面からSQLインジェクション対策を検討している方も多いのではないでしょうか。
セキュリティ対策を行わずそのままにしておくと、不正ログインや乗っ取り・情報改ざんなどのリスクが高まり、甚大なトラブルとなりかねません。
そこで本記事では、SQLインジェクションの定義や攻撃例を紹介します。効果的な対策についても解説するので、参考にしてください。

SQLインジェクションとは

「SQLインジェクション」とは、Webアプリケーションの脆弱性により外部から送信されたSQL文でデータベースを不正に操作されてしまうことです。
「SQL（Structured Query Language）」とはデータベースを操作するための言語で、ユーザーの命令からデータベースに問い合わせを行い、該当の数値などを取り出します。
「インジェクション」は「注入」を意味し、不正なSQL文を注入するということです。
SQLインジェクションの被害に遭うと、データベースからさまざま情報を取得できるのでID・パスワードやクレジットカードなどあらゆる機密情報の漏えいにつながります。
企業の信頼やイメージが下がるのはもちろん、サイトやサービスが一時的に利用できなくなり、業績に悪影響を及ぼす可能性もあるので注意が必要です。

SQLインジェクションの攻撃例

SQLインジェクションの代表的な攻撃例は、以下の3つです。

• 個人や機密情報の漏えい
• 不正ログインや乗っ取り
• 情報改ざん

データベースに対して、「select（抽出）」「insert（追加）」「update（更新）」「delete（削除）」の4つの操作を行うことで被害を発生させます。
それぞれの攻撃例について、詳しく確認していきましょう。

個人や機密情報の漏えい

SQLインジェクションの攻撃例1つ目は、「個人や機密情報の漏えい」です。
データベースから未公開情報を取得（select）することで、住所や年齢などの個人情報、ID・パスワードなどの機密情報が漏えいします。
被害数が大規模になるケースが多く、信頼度の低下から顧客離れや株価低下などのマイナスな影響も発生しかねません。
会員登録などの「入力フォーム」から情報を取得されるため、攻撃対象となるサイトは数多くあります。
※関連記事：「パスワード漏洩のチェック方法4種類を解説！漏洩原因と事例も紹介」

不正ログインや乗っ取り

SQLインジェクションの攻撃例2つ目は、「不正ログインや乗っ取り」です。
データベースから情報が取得（select）された後の2次被害として発生する場合もありますが、IDとパスワードが分からなくてもSQLインジェクションを用いればログインできます。
データベースに該当するIDとパスワードが保存されていれば、簡単にログイン可能です。
SNSを乗っ取られるケースやECサイトへ不正ログインされるケースもあり、経済的な損出が発生するので注意してください。

情報改ざん

SQLインジェクションの攻撃例3つ目は、「情報改ざん」です。
情報の削除（delete）や書き換え（update/insert）ができるので、情報改ざんが発生します。
個人のブログから企業や自治体のサイトに至るまで、SQLインジェクション対策を行っていなければ自由に操作可能です。
必要な情報が削除されたり、意図しない情報が公開されたりするため、社会的な評価が下がる原因となります。

SQLインジェクションの効果的対策

SQLインジェクションの効果的な対策は、以下の5つです。

• エスケープ処理
• プレースホルダ
• ホワイトリストの設定
• 最新バージョンへの更新
• システム会社へ相談・見直し

サイバー攻撃被害を防ぐため、自分に合った方法で対策を実施しましょう。

1.エスケープ処理

SQLインジェクションの効果的対策の1つ目は、「エスケープ処理」です。
エスケープ処理とはプログラムで利用する特別な記号をただの文字として認識させることで、不正なSQLを実行しないように処理できます。
SQLインジェクションでは「;」（セミコロン）や「‘」（シングルクォート）など利用する記号が決まっているため、該当する記号に対して処理を行うと効率的に対策可能です。

2.プレースホルダ

SQLインジェクションの効果的対策の2つ目は、「プレースホルダ」です。
プレースホルダとはSQL文中の変動するパラメータ部分を仮確定しておく方法で、入力値をただの文字列として認識できます。
不正な命令が入力されてもただの文字列として処理されるため、サイバー攻撃を防ぐことが可能です。
一つひとつ条件を指定する必要がなく、人為的なミスが発生しにくいので安心できます。

3.ホワイトリストの設定

SQLインジェクションの効果的対策の3つ目は、「ホワイトリストの設定」です。
IDやパスワードなど事前にリスト化しておき、それ以外を受け付けないように設定することでSQLインジェクションを防止できます。
許可されたリストしか使用できないため高い防御力がありますが、頻繁に変更する必要があるリストは手間がかかるので注意しましょう。

4.最新バージョンへの更新

SQLインジェクションの効果的対策の4つ目は、「最新バージョンへの更新」です。
OSやアプリケーションを最新のバージョンに保つことで、脆弱性に対する強化ができます。
旧OSで見つかった不具合の修正が行われるため、通知が表示されたらすぐに最新バージョンへ更新してください。
アップデートすると、新規機能の追加や動作改善などのメリットもあります。

5.システム会社へ相談・見直し

SQLインジェクションの効果的対策の5つ目は、「システム会社へ相談・見直し」です。
自分で設定できない方やIT部門のない企業の方は、無理せずにシステム会社へ相談しましょう。
専門知識を持ったスタッフによるサポートを受けられるため、万全な対策ができます。
現在のシステム会社によるセキュリティに不安がある場合は、業者を見直すのもおすすめです。

まとめ

SQLインジェクションとはウェブセキュリティの脆弱性のことで、不正なSQL文によりデータベースを操作されてしまうことです。
個人情報の漏えいや不正ログインや乗っ取り、データ改ざんの原因となり、データ操作だけではなく信頼度や業績の低下につながります。
SQLインジェクションには、エスケープ処理・プレースホルダ・ホワイトリストの設定などが効果的な対策として考えられます。
OSやアプリケーションをアップデートせずにしておくとリスクが高まるため、まずは最新状態になっているか確認してください。
専門的な担当者やIT部門がない場合は、システム会社へ相談するとより効果的な対策ができるでしょう。