矢ケ崎ブログ

矢ケ崎です。

三重県の中学校で、勤務する中勢地域の中学校の女子生徒にメールを送り続け
た男性教諭（５２）が戒告処分を受けました。
（「『会って欲しい』中３女子にメール１千通　教諭を戒告」朝日新聞の記事）

記事によると、中学校の男性教諭は２００８年１０月ごろ、部活動の指導をし
た３年生の女子生徒に好意を抱き、卒業する直前から１年間ほど「会って欲し
い」などと書いたメールを約１千通送っていました。今年４月、女子生徒の保
護者が中学校に相談して発覚したようです。

しかし、この程度の人間が中学校の先生をやっていること自体が問題です。教
育委員会は、この程度ならば戒告処分でおしまいでしょうか。

━・━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
★SQLインジェクション攻撃で個人情報流出・・・・GAME CITY
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━・━

ゲーム情報サイト「GAME CITY」を運営するコーエーテクモゲームス（本社：横
浜市）は２０日、同サイトが複数回にわたる不正アクセスを受け、サイトに登
録されていたユーザーの個人情報が漏えいしていたことを明らかにしました。
（「SQLインジェクション攻撃で個人情報1831人分流出」so-netセキュリティ通
信の記事）

記事および同社の発表によると、３月２５日から４月１５日にかけて、断続的
に不正アクセスが行われていたことが判明し、さらに過去に遡って調査を進め
たところ、昨年６月１０日から１９日にも同様の不正アクセスを確認しました。

社内調査と並行して第三者機関によるセキュリティ調査を実施し、この不正ア
クセスがSQLインジェクション攻撃によるものであることと、ユーザーの個人情
報漏えいが明らかになりました。

不正アクセスによって漏えいした個人情報は、クレジットカード番号１６名分、
メールアドレスおよびサイトのパスワードなど１８０７名分、電話番号や郵便
番号など８名分ですが、いずれも氏名情報は含まれていません。

※コーエーテクモホールディングスのリリース
■不正アクセスによるお客様個人情報漏洩のお詫びとご報告[PDF]
■不正アクセスによるお客様個人情報漏洩に関するご質問と回答 [PDF]

※ＳＱＬインジェクション
　　SQLインジェクション攻撃は、サイトにつながっているデータベースに対す
　　る不正操作を許してしまうWebアプリケーションの脆弱性を狙った不正アク
　　セス。
　　データベースへの問い合わせ文を組み立てたり実行したりする処理言語の
　　SQLに悪意のある不正な文字列が挿入され、データが不正な内容に改ざんさ
　　れたり、今回のように情報を盗まれたり、改ざんサイトから、ユーザーの
　　パソコンの脆弱性を狙う攻撃コードが仕掛けられた不正なサイトに自動的
　　に誘導されたり被害が拡大する。
■今夜分かるSQLインジェクション対策 － ＠IT
■SQLインジェクションとは【SQL injection】 - ＩＴ用語辞典
■SQL インジェクション攻撃とその対策－マイクロソフト
■SQLインジェクション攻撃対策の資料「安全なSQLの呼び出し方」－sourceforge

SQLインジェクションは2005年あたりからニュース番組に登場するようになり、
2008年3月から4月にかけて大規模な攻撃があり、世界的な被害が報告されてい
ます。

ソースコードーどの改ざんにより、攻撃者が用意した不正なサイトへのリンク
を注入されたり、様々な被害が出ました。

サーバ管理者はSQL文が注入される原因を作らないために、バインド変数処理を
したり、SQL文を実行する前に安全な文字に置き換えるなどのエスケープ処理を
したり、日夜対策しているはずです。

私たちのような一般的な利用者は、どのサイトがSQLインジェクション攻撃を受
けたのかについては、まったく判断できません。

「信頼の置けないサイトには入らないように」といっても、信頼しているサイ
トが攻撃されてしまう昨今では、この対策ではまったく役に立ちません。

私たちのような一般の利用者が出来ることは、通常の情報セキュリティを実行
しておくだけです。

　１．OSの最新化
　２．セクリティ対策ソフトの最新化

自分たちがいつも利用しているサイトが、SQLインジェクションの被害者になら
ないことを祈るだけです。