脆弱性診断は事前に

ScanNetSecurityによると『一般社団法人くすりの適正使用協議会は2月21日、同協議会のくすりのしおりデータベースに行われたサイバー攻撃について、調査結果を発表した。』と報道した。

これは『2024年12月29日午後4時17分に、同協議会が運営する「くすりのしおりミルシルサイト」に侵入され、くすりのしおりデータベースが改ざんされたというもの。』に対する追加報道としている。

システム開発に関係する人であれば「SQLインジェクション」という攻撃方法についてはご存知だと思います。検索入力欄にSQL文を入れて、検索対象外のデータを取得したり、場合によっては改ざんする手法をいいます。

入力された文字列を、サニタイジングと呼ぶSQL文などを無効化する仕組みにより無害化する事は、ある意味で常識でしょう。これを忘れてしまった、とか無効化が不十分である、といった場合に備えて、インターネットに公開する前に、脆弱性診断ソフトなどで確認する事も推奨されています。

今回発生した事案は、開発中に留意することと、事前に実施することの手順が不十分なために発生しており、おそらくはルールなどがないか徹底されていないのでしょう。さらに、再発防止策に記載されている事は事前にやっておく事をやっただけ、という事になってしまいます。

https://scan.netsecurity.ne.jp/article/2025/03/03/52426.html

くすりのしおりデータベースに SQLインジェクション攻撃、外部不正サイトを示すテキストを付記

https://www.rad-ar.or.jp/release/post?id=2294ba7a3461335bf700035f

くすりのしおりデータベースに対するサイバー攻撃について