SQLインジェクションとは？サイトが乗っ取られる仕組みと今すぐできる3つの対策
公開日：
更新日：
※当サイトはアフィリエイトプログラムを利用しています。
こちらの過去記事で少し触れたSQL(エスキューエル)インジェクション。
【そのアプリ本当に公開していいの？】バイブコーディングとは？AIアプリ開発に潜むリスク
「何だか難しそうな名前だな…」とスルーしてしまった方もいるかもしれませんが、実はこれ、数あるサイバー攻撃の中でもトップクラスに危険で、今なお被害が絶えない最凶の手口なのです。
「うちは大企業じゃないし、個人のブログだから関係ない」と思っている方こそ要注意。
今回は、専門用語をできるだけ使わずに、手口と今すぐできる対策を分かりやすく解説します。
SQLインジェクションの仕組み
SQLインジェクションとは、私たちがユーザー側としてよく使う、ログイン画面やお買い物の決済画面、サイト内検索などの入力欄に、攻撃者がデータベースへの不正な命令を書き込んで、裏側にあるデータを不正に操作する行為。
ウェブサイトの裏側で動いているデータ管理システムそのものを乗っ取るための攻撃です。
サーバーそのものというよりはデータに特化した攻撃で、本来は見られないはずの会員の個人情報やクレジットカード情報を盗み見られたり、データを丸ごと消去・改ざんされたりする可能性があります。
ここで、専門用語を簡単に整理しておきましょう。
- インジェクション（Injection）とは
- 外部からの入力値に不正な文字列やコードを混入させ、アプリケーションやシステムに意図しない動作をさせる攻撃手法。
- データベースとは
- 会員情報、パスワード、ブログの記事データなどが保管されているデジタルな保管庫。
- SQL(エスキューエル)とは
- その保管庫からデータを取り出したり、書き換えたりするときに使うシステムへの指示書。
SQLインジェクションの被害に遭ったらどうなる？
この攻撃を受けると、サイトの裏側にあるデータベースを丸ごと乗っ取られるため、被害は致命的になります。
- 個人情報やパスワードが盗まれる
顧客データや会員情報、クレジットカード情報などが一瞬で抜き取られ、闇ルートで売買されたり、悪用されたりします。 - サイトを勝手に書き換えられる
データベース内の書き換えにより、サイトの見た目をアダルトサイトに変えられたり、偽の詐欺サイトへの誘導リンクを埋め込まれたりします。
訪問者があなたのサイト経由でウイルスに感染する、ということも起こり得ます。 - 他のサイバー攻撃の踏み台にされる
あなたのサイトのサーバーをハッカーが遠隔操作し、そこからさらに別の企業へ攻撃を仕掛けるための「中継基地」にされてしまいます。
ある日突然、あなたのサイトが「加害者」になってしまうのです。 - 検索エンジンから危険なサイト認定されてしまう
GoogleなどはWebサイトを常時パトロールしていて、改ざんやマルウェアの埋め込みを検知すると、検索結果に警告表示を出したり、順位を大きく落としたりします。
長年かけて積み上げてきたサイトの信頼が、たった一度の攻撃で吹き飛んでしまうのです。
実は私も昔、放置されたサイトが突然アダルトサイトに書き換えられているのを目撃したことがあるんですよ。
見た目が変わるだけでなく、訪れた人にウイルスを感染させる罠に変えられてしまうこともあります。
個人事業主やサイト運営者向けの対処法
レンタルサーバーを利用したり、WordPressを運用している個人事業主やサイト運営者の方が、万が一「サイトが改ざんされた」「情報が漏洩したかもしれない」と被害に気づいた際、すぐに実行できる緊急対応です。
- 被害の拡大を止める
- ・サイトをメンテナンス中にする
これ以上の不正アクセスや、訪れた一般ユーザーへの被害を防ぐため一時的に非公開に。 - ・WordPressへのログインをブロックする
攻撃者が管理画面に侵入している可能性があるため、アクセス制限をかけるか、一時的にログインURLを変更。 - ・データベースのパスワードを変更する
レンタルサーバーの管理画面から、WordPressが接続しているデータベース（MySQL）のパスワードを即座に変更。
- 証拠保全と原因特定
- ・アクセスログをダウンロードする
レンタルサーバーの管理機能から、直近のアクセスログとFTPログをすべて手元にダウンロードして保存。 - ・見覚えのない管理者ユーザーがいないか
管理画面などのユーザー一覧を見て、不審な管理者アカウントが追加されていないか確認し、あれば即座に削除。
- 安全な状態への復旧と根本対策
- ・不審なプラグインやテーマの削除
古いプラグインやテーマ、あるいは身に覚えのないPHPファイルがサーバー内に設置されいたら削除。 - ・自動バックアップ機能から復元
確実に安全だった時点のデータを選んで復元。 - ・すべてのパスワードの初期化
復元が完了したらパスワードを、全く異なる文字列にすべて変更。
- 外部への報告とユーザー対応
- ・レンタルサーバー会社への連絡
被害の状況をサポート窓口に報告、どのような対策を取るべきかのアドバイスを仰ぐ。 - ・サイト利用者へのアナウンス
個人情報が漏洩した可能性がある場合は、サイト上やメールで速やかに公表し注意喚起する。
利用しているサービスが被害に遭った場合の対処法
あなたが利用しているWEBサイトやアプリがSQLインジェクション攻撃を受けた場合、
- ・登録メールアドレスへの直接通知
- ・公式サイトのトップページやお知らせ
- ・アプリ内のポップアップ・通知機能
などに
- ・何が起きたか
- ・いつ起きたか
- ・どのデータがどの位漏れたか
- ・ユーザーへのお願い
といったアナウンスがあります。状況に応じた対処をしてください。
パスワードをすぐに変更
利用していたサービスで情報漏洩の可能性がある場合は、できるだけ早くパスワードを変更しましょう。
もし、同じパスワードを他のサービス（SNS、通販サイト、メールなど）でも使い回している場合は、それらも併せて変更することが非常に重要。
攻撃者は、漏洩したIDとパスワードのリストを使って、別のサービスへ次々とログインを試みる「パスワードリスト攻撃」を行う危険性があります。
二要素認証（2FA）を有効に
対応しているサービスでは、すぐに二要素認証（2FA）を有効化してください。
たとえパスワードが第三者に知られてしまっても、スマホの認証アプリやSMSなどによる「もう一つの追加認証」が壁となり、不正ログインをギリギリのところで防げる可能性が高まります。
クレジットカードや銀行口座を確認
漏洩したサービスにクレジットカードや銀行口座を登録していた場合は、すぐに利用明細や取引履歴を確認しましょう。
万が一、身に覚えのない決済や引き落とし、不審な送金履歴があれば、すぐにカード会社や金融機関へ連絡し、カードの利用停止や再発行の手続きをとってください。
早期に対応することで、金銭的な被害を最小限に抑えられます。
ログイン履歴の確認
漏洩が疑われるサービスや、同じパスワードを使っていた主要なアカウントの管理画面から、ログイン履歴を確認しましょう。
自分のスマホやパソコン以外の、見覚えのない端末や海外からのアクセス履歴が残っている場合は、すでに不正ログインされている可能性があります。
その場合は強制的に「すべてのデバイスからログアウト」を実行してください。
不審なメールやSMSに警戒
情報漏洩の直後は、登録していたメールアドレスや電話番号宛てに、実在する企業を騙ったフィッシング詐欺目的の連絡が届きやすくなります。
「セキュリティ確認のため、こちらから再ログインしてください」「口座が凍結されました」といった不安を煽る内容のメールが届いても、本文内のリンクは絶対にクリックせず、必ず公式アプリやブックマークした公式サイトから状況を確認してください。
サービス運営元からの公式アナウンスを確認
漏洩を起こした企業やサイトの公式発表をこまめにチェックしましょう。
実際に何のデータが漏洩したのかや、運営元が用意した特設の問い合わせ窓口、今後の補償対応といった正確な最新情報を把握することが大切です。
システム開発（設計）側の根本対策
システム開発時にすべき基本的な対策です。システム開発について私はプロではありませんので、サラッと触れる程度にしておきます。
プレースホルダの強制利用
これが最も強力で、効果的な根本対策です。
SQL文のテンプレートをあらかじめデータベース側に用意しておき、ユーザーが入力した値は後から「ただの文字データ」として当てはめる。
これにより、入力欄にどれだけ悪意のあるSQL命令を書き込まれても、データベース側はそれを命令ではなく「ただの文字列」として処理するため、SQLインジェクションは100%発生しなくなります。
エスケープ処理
どうしてもプレースホルダが使えない特殊な場所に限定して、入力された文字をエスケープ。SQLにおいて特別な意味を持つ記号（' や "、\ など）の前に別の記号を付け足すことで、命令として機能しないように無害化します。
データベースの権限を最小限に
万が一、プログラムを突破されてSQL命令が実行されてしまった場合に被害の最小化となる設計です。
Webアプリケーションがデータベースに接続する際のアカウントには、そのシステムが必要とする最小限の権限だけを与えます。
詳細なエラーメッセージを表示させない
データベースがエラーを起こした際、その詳細な原因をそのまま画面に表示すると、攻撃者に侵入できるというヒントを与えてしまいます。
あなたのサイトをSQLインジェクションから守る基本対策
特にWordPressを利用しているなら、プラグインの更新を必ずしてくださいね。
SQLインジェクション対策は簡単
「うちはアクセス数も少ないし、ハッカーに狙われる筋合いはない」と、安心していると危険。
現代のハッカーは手作業でサイトを探しているわけではないから。
彼らはAIや自動巡回プログラムを使い、インターネット上のサイトを24時間くまなく巡回して、セキュリティに隙があるサイトを無差別に見つけ出して攻撃しています。
AIが発見・武器化したゼロデイ脆弱性攻撃を世界初確認【Googleが未遂段階で阻止】
つまり、あなたのサイトが有名かどうかは関係ありません。
対策をしていないサイトなら、放置されているだけで自動的に見つかり、餌食になってしまうのが今の時代の怖さなんです。
「知名度がないから安全」ではなく、むしろ「知名度が低いサイトほど、対策が手薄で狙われやすい」とすら言えるかもしれませんね。
「プログラムのことはよく分からない…」というサイト運営者の方でも、今すぐできる重要な対策があります。
CMS(WordPressなど)やプラグインを常に最新に
世界中のサイトで使われているWordPressは、本体そのものよりもプラグインが攻撃の入り口になるケースが非常に多いことで知られています。
便利だからと、お問い合わせフォームや会員機能、SEO対策用のプラグインをどんどん追加していくと、それぞれが入力欄を持つことになり、攻撃者にとっての侵入口候補が増えていきます。
開発者のサポートが終了して更新されなくなった放置プラグインは特に危険。
脆弱性が見つかっても二度と修正されないまま、ずっとそこに穴が開いた状態になってしまうからです。
実際に、WordPressのプラグインを狙ったSQLインジェクションの被害は毎月のように報告されています。
驚くのは、お問い合わせフォームだけでなく、一見データベースとは関係なさそうなデザイン系のプラグインや、カレンダーを表示するプラグインからも見つかっている点。
開発者がほんの少しプログラムのチェックを怠っただけで、世界中で何十万ものサイトが一瞬にしてハッカーに丸見えの危険な状態になってしまうのです。
対策はシンプルです。
- ・管理画面に更新通知が出たら、後回しにせずすぐに更新する
- ・便利そうだからで入れたまま使っていないプラグインは、無効化ではなく思い切って削除する
- ・半年以上更新されていないプラグインは、別の代替プラグインへの乗り換えを検討する
この地道な整理整頓が、実は一番コストのかからない防御策だったりします。
WAF(ワフ)を有効にする
WAFとは
サイトへの怪しいアクセスを自動で検知してブロックしてくれるシステム。
「銀行の窓口」の例えで言うなら、WAFは窓口の前に立っている警備員のような存在です。
氏名欄に不審な命令文が書き込まれた申込書が来たら、中身をシステムに渡す前に「これはおかしい」と気づいて弾いてくれます。
多くのレンタルサーバー(エックスサーバー、ConoHa WING、ロリポップなど)には、標準でこのWAF機能がついています。
コントロールパネルから「WAFをONにする」というボタンを押すだけで、SQLインジェクションのような攻撃を強力にブロックしてくれます。
CMSの更新やプラグインの整理には多少の手間と知識が必要ですが、WAFの有効化はボタン一つで完了する、費用対効果が最も高い対策です。
まだONにしていない方は、この記事を読み終えたらすぐにでも管理画面を確認してみてください。
すでに有効になっているサーバーもありますが、念のためご自身の目で設定を確かめておくと安心です。
自作プログラムの場合は専門家のアドバイスを
もし、制作会社や知り合いのエンジニアに独自開発してもらったシステムを運用している場合は、「SQLインジェクションの対策（プレースホルダ）は大丈夫ですか?」と一度確認してみることをおすすめします。
プレースホルダというのは、入力された文字を絶対に命令として扱わず、必ずただのデータとして扱う仕組みのこと。
この仕組みがきちんと使われていれば、そもそも不正な命令を書き込まれても実行されることがなく、根本から攻撃を防げます。
もし、少しでも不安に感じているなら、その不安を言葉にして伝えましょう。
古い手口だから基本の対策で確実に防げる
正直に言うと、私自身も過去にWordPress運用に挑戦して、二度挫折した経験があります。
管理画面を開くたびに表示される「更新があります」の通知に追われるのはもちろんですが、それ以上に苦しかったのは「テンプレートに沿った感じにならない」ことでした。
用意された型の中で作業する感覚がどうしても自分に合わず、思うような表現ができないもどかしさを感じていました。
「面倒だから」「難しく感じるから」という理由で距離を置いてしまう気持ち、すごくよく分かります。
ただ、SQLインジェクションのような攻撃は、まさにそうして更新が止まり、放置されたサイトの隙間を狙って侵入してきます。
攻撃者にとって「テンプレートも中身も、しばらく手つかずのサイト」は、格好の標的になってしまうのです。
SQLインジェクションは、1990年代からある古い手口。
そのため、どうすれば防げるかという答えも完全に確立されているんですよ。
- ・CMSとプラグインは常に最新に、使わないものは削除する
- ・WAFは必ずONにする(まだの方は今すぐ確認を)
- ・独自開発のシステムなら、プレースホルダの使用を専門家に確認する
この基本を守っていれば、自動ボットの攻撃からは十分にサイトを守れます。
明日は我が身と考えて、ぜひ一度ご自身のサイトの設定を見直してみてくださいね。
あわせて読みたい
SQLインジェクションから、こういった偽の警告画面が出る、サポート詐欺に繋がる可能性もあります。
【詐欺】スパイウエアソフトを感知 050-5532-2883 思わず失笑【電話しないで】
【感染詐欺】ナビゲーションを確認インターネットセキュリティの警告！【電話しないで】
SQLインジェクションのよくある質問
SQLインジェクションについて、特に多い疑問をQ&A形式でまとめました。記事の内容とあわせて確認してみてください。
- 目次
- ・SQLインジェクションとOSコマンドインジェクションの違いは？
- ・WordPressはSQLインジェクションの対象になりますか？
- ・WAFだけでSQLインジェクションは防げますか？
- ・個人ブログや小さなサイトでも狙われますか？
- ・SQLインジェクションは今でも多い攻撃ですか？
Q. SQLインジェクションとOSコマンドインジェクションの違いは？
A. どちらもインジェクション攻撃の一種ですが、狙う対象と目的が異なります。
SQLインジェクション
データベースを狙う攻撃。会員の個人情報やパスワード、クレジットカード情報などの「データそのもの」を盗み出したり、書き換えたりします。
OSコマンドインジェクション
サーバーのOSを狙う攻撃。ファイルの削除、マルウェアの設置、サーバーの乗っ取りなど、「システムや土台そのもの」を支配します。
OSコマンドインジェクションとは？仕組み・被害・対策を初心者向けにわかりやすく解説
簡単に言えば、SQLインジェクションはデータを狙う、OSコマンドインジェクションはサーバーそのものを乗っ取ると考えると分かりやすいでしょう。
Q. WordPressはSQLインジェクションの対象になりますか？
A. はい、非常に狙われやすい対象になります。
WordPress本体はセキュリティ対策が強固ですが、世界中の開発者が作った「プラグイン」や「テーマ」のプログラムに潜む脆弱性が悪用されるケースが後を絶ちません。
特に、以下の機能を持つプラグインはデータベースと激しくやり取りをするため、過去にも多くの脆弱性が発見されています。
- ・サイト内検索の拡張機能
- ・独自のフォームやアンケート機能
- ・会員管理やログイン情報の拡張機能
- ・商品管理やショッピングカート機能
WordPressを安全に運用するには、「本体・プラグイン・テーマを常に最新に保つ」「使っていないプラグインは完全に削除する」という基本が、データベースを守る最大の防壁になります。
Q. WAFだけでSQLインジェクションは防げますか？
A. いいえ。WAFは強力な盾ですが、それだけで100%防げません。
WAFは、外部からの不審なSQL命令を検知して水際でブロックしてくれる非常に有効な仕組みです。
しかし、複雑に偽装された新しい攻撃パターンを見落とすことがあったり、アプリケーション固有の特殊な作りの隙を突かれることがあるのです。
そのため、WAFだけに頼るのではなく、
- ・システムの脆弱性を放置しない（常に最新にする）
- ・データベースのアクセス権限を必要最小限に絞る
- ・プログラム側でプレースホルダ（安全な設計）を徹底する
仕上げとしてWAFを有効にする。というように複数の対策を組み合わせることが不可欠です。
Q. 個人ブログや小さなサイトでも狙われますか？
A. はい、アクセス数やサイトの規模に関係なく、等しく狙われます。
現代のサイバー攻撃は、ハッカーが手作業で特定のサイトを選んで攻撃しているわけではありません。
攻撃者はAIや自動巡回プログラム（ボット）を使い、インターネット上のすべてのウェブサイトに対して「SQLインジェクションが通用する古いプラグインを使っていないか」を24時間自動でスキャンしています。
そのため、「個人ブログだから盗まれるデータなんてない」と思って放置していると自動攻撃の標的になり、サイトの見た目を改ざんされたり、別の詐欺サイトへ強制移動させるための踏み台に利用されたりする危険性があります。
Q. SQLインジェクションは今でも多い攻撃ですか？
A. はい。20年以上前から存在する古典的な攻撃ですが、今なお被害の上位にランクインする危険な攻撃です。
SQLインジェクションの手法や防ぎ方は完全に確立されています。
それにもかかわらず被害が無くならないのは、世界中で新しいウェブサイトやプラグインが日々作られる中で、安全な開発ルールが徹底されていないグレーなプログラムが一部に残ってしまうからです。
さらに近年は、攻撃者側もAIや自動化ツールを使って「脆いサイト」を高速かつ効率的に探し出せるようになっています。
しかし、恐れる必要はありません。開発者は安全な設計を徹底し、サイト運営者はWordPressやプラグインのアップデートを怠らず、WAFを有効にする。
この基本の継続さえできていれば、攻撃リスクは限りなくゼロに抑えることができます。