守～ってあげたい♪:S

カテゴリ：S

• セキュリティが甘いとお金がかかる・・・
  [ 2008-04-22 12:29 ]
• SQLインジェクション
  [ 2005-07-07 16:52 ]

セキュリティが甘いとお金がかかる・・・

+++++
ウェブ改ざん相次ぐ、「ネット攻撃」対策に奔走
　企業のウェブサイトが改ざんされる事件が相次いでいる。「ＳＱＬインジェクション」と呼ぶ

手法で、攻撃数は数年前に比べ急増している。ネットによる通信販売サイトを中心に被害が広が

っており、対策費が数千万円に上る例もある。事業規模が小さいネット系企業にとっては成長の

足かせになる可能性もある
+++++
という記事が大きく取り上げられていました。

サウンドハウス、個人情報流出の補償でポイント1,000円分付与
という話は「痛い・・・」ですよね。

でも
「サウンドハウス」名指しの攻撃マニュアルが中国で公開されていた
という話は、「本当?」
だとしたら、「怖い・・・」

IPA、サーバーログからSQLインジェクション攻撃を確認するツールを公開
は、もう少し早くてもよかったのかも。。。

SQLインジェクション

7月6日、不正アクセス犯の逮捕発表 (逮捕自体は6月22日という報道あり) により、大きく取り上げられたSQLインジェクションとは，Webアプリケーションの脆弱性を突く攻撃手法の一つ。
日経BP社が特集ページを立ち上げています。

SQLインジェクションに気をつけろ

この不正アクセス犯については、様々な情報が飛び交っていますが、以下に気がついたニュースを記します。

旅行会社のサーバーに不正侵入容疑で留学生逮捕・警視庁

旅行会社のクラブツーリズム（東京・新宿）のコンピューターサーバーが今年3月、外部から不正アクセスされて最大約9万人分の個人情報が流出した疑いがある事件で、警視庁ハイテク犯罪対策総合センターなどは5日までに、東京都内の私立大学に通う20代の中国籍の留学生の男を不正アクセス禁止法違反などの疑いで逮捕した。

　同センターによると、男は今年1月から6月にかけて、価格比較サービス大手「カカクコム」（東京・文京）のサイトや、人材派遣大手「アデコ」（東京・港）、静岡新聞が運営する就職支援サイトにも不正に侵入した疑いが浮上しているという。

　調べによると、男は3月15日から17日にかけ、自宅のパソコンからクラブツーリズム社が管理するサーバーに不正に侵入。特殊な指令を入力し、ネットでツアーを申し込んだことがある会員のＩＤやパスワード、住所、氏名、性別、生年月日、メールアドレスなどを盗んだ疑い。

不正アクセスで個人情報盗む、中国人留学生逮捕・被害52万件か[2005年7月6日]

旅行会社のクラブツーリズム（東京・新宿）のコンピューターサーバーに不正侵入し、個人情報を盗み取ったとして、警視庁ハイテク犯罪対策総合センターなどは6日までに、私立大学の中国人留学生、郁華容疑者（27）＝東京都豊島区西池袋＝を不正アクセス禁止法違反の疑いで逮捕した。

　同センターによると、郁容疑者は今年1月から6月の間、価格比較サービス大手「カカクコム」（東京・文京）のサイトや人材派遣大手「アデコ」（東京・港）、静岡新聞（静岡市）が運営する就職支援サイト「新卒のかんづめ」などにも侵入した疑いが持たれている。被害は計14社、計52万件に上るという。

　調べによると、郁容疑者は３月15日から17日にかけ、自宅のパソコンからクラブツーリズム社が管理するサーバーに19万回にわたって不正に侵入し、ネットでツアーを申し込んだことがある会員のＩＤやパスワード、住所、氏名、性別、生年月日、メールアドレスなど計約16万件を盗んだ疑い。

不正アクセス、中国からも――「カカクコム」サイトに痕跡[2005年7月7日/日本経済新聞　朝刊]

中国人留学生による大規模不正アクセス事件で、サイトの一時閉鎖に追い込まれた価格比較サービス大手「カカクコム」（東京・文京）への侵入経路について、警視庁は６日までに、中国国内に設置されたサーバーからも同社のサーバーに不正アクセスがあった疑いを強め、近く国際刑事警察機構（ＩＣＰＯ）を通じ、中国当局に照会する方針を決めた。

　カカクコムのサイトを巡っては、警視庁が不正アクセス禁止法違反容疑で逮捕した中国人留学生、郁華容疑者（27）の自宅から押収したパソコンに、利用者のメールアドレスなどの個人情報計約９万件が保管されていることが判明。同庁は今年４月から５月にかけ、同容疑者が日本国内から不正アクセスして入手したとみて、調べている。

　一方、カカクコムのサイトは郁容疑者が個人情報を不正に入手したのとほぼ同時期に、利用者にウイルスソフトが無差別に送りつけられるようにプログラムが改ざんされていた。

不正アクセス、中国語サイトに侵入道具はんらん

14社のサイトから約52万件の個人情報を盗み出した疑いの持たれる郁華容疑者（27）は、「インターネット上で不正アクセス用プログラムを調達していた」と供述している。ネットセキュリティーの専門家によると、多少の知識があれば、中国語サイトなどにはんらんする不正プログラムを使って企業のサイトへの侵入も可能という。

　「黒客工具」。ある中国語のサイトには、ハッカー用ツールを意味するこの言葉のわきに「ＴＯＰ10」と題し、人気の不正アクセス用プログラム名がずらりと並んでいる。中には、郁容疑者が使ったとみられる「ＳＱＬ注入工具」タイプも。

※この「ＳＱＬ注入工具」で Google検索すると6万件以上のヒットがあります。

不正アクセスの中国人留学生、米からも侵入か[2005年7月7日]

中国人留学生による大規模不正アクセス事件で、警視庁が不正アクセス禁止法違反容疑で逮捕した郁華容疑者（27）が、旅行会社クラブツーリズム（東京・新宿）のサーバーに侵入する際、米国とフィリピン国内に設置されたサーバーからも不正にアクセスしていた可能性があることが7日までに、警視庁ハイテク犯罪対策総合センターの調べでわかった。

　同センターは今年3月、不正アクセスを受けて約9万人の個人情報が流出したクラブツーリズムから被害相談を受け、同社サーバーの接続記録などの解析に着手。これまでに、アクセスが集中した同月15―17日の間、不正な指令の発信元が国内だけでなく、米国とフィリピンにもあったことを突き止めた。