ニュース

2008年4月25日

SQLインジェクションが止まらない、50万ページ以上が改ざん

アクセスするだけでウイルス被害、「もはや『安全なサイト』は存在しない」

勝村　幸博＝日経パソコン

Tweet

（執筆時の情報に基づいており、現在では異なる場合があります）

埋め込まれる文字列で検索した結果（フィンランドのエフ・セキュアの情報から引用。編集部で一部をぼかした）

画像のクリックで拡大表示

　セキュリティ企業や組織は2008年4月24日、Webサイトを改ざんする大規模な攻撃が確認されているとして注意を呼びかけた。改ざんされたWebページには、ウイルス（悪質なプログラム）を感染させる「わな」が仕込まれるため、アクセスしただけで被害に遭う恐れがある。

　今回、米サンズ・インスティチュートやフィンランドのエフ・セキュアなどが警告している攻撃は、英ウェブセンスが4月22日に報告したものと同じ攻撃。「SQLインジェクション」と呼ばれる手法を使って、脆弱（ぜいじゃく）性のあるWebサイトに不正侵入し、Webページを改ざん。自分たちが用意した悪質なファイルをダウンロードさせる文字列（スクリプトタグ）を仕込む。

　悪質なファイルには、WindowsやAIM（AOL Instant Messenger）、RealPlayer、iTunesなどの脆弱性計8種類を突いてウイルスを感染させるプログラムが含まれている。これらの脆弱性が修正されていないコンピューターでは、改ざんされたWebページにアクセスするだけでウイルスに感染してしまう。サンズの情報によれば、ウイルスの中には、ユーザーが入力したパスワードなどを盗むものがあるという。

　エフ・セキュアでは、ページの改ざん時に挿入される文字列を使ってGoogleで検索。その結果、およそ51万件（ページ）が表示されたという（図）。

　改ざんされたサイトの種類はさまざま。自治体や企業のサイトだけでなく、政府機関のサイトも改ざんされているという。このため、「信頼できないサイトにはアクセスしない」といったお決まりの対策では被害を防げなくなっている。

　サンズでは、今回のような改ざん攻撃により、「『信頼できるサイト（trusted site）』あるいは『安全なサイト（safe site）』かどうかといった考え方は、意味がないものになっている」とコメントしている。