SQLインジェクションでサイト改ざん、個人情報の漏洩は否定 - キャラアニ.com

キャラクターグッズやソフトウェアの販売サイト「キャラアニ.com」がSQLインジェクション攻撃を受け、サイトの一部ページが改ざんされていたことがわかった。ページを閲覧した場合、ウイルスに感染するおそれがあったという。

サイトを運営するキャラアニによれば、改ざんされたのは、サイト内の商品カテゴリデータベースでカテゴリ名が表示されるページ。商品カテゴリに関するデータベースがSQLインジェクション攻撃を受け、外部サイトのJavaScriptを実行するクロスサイトスクリプティングのコードが埋め込まれた。

改ざんが発生したのは6月12日0時ごろで、サイトを停止した同日2時までに不正コードが埋め込まれたページをInternet Explorerで閲覧した場合、ActiveXコンポーネントからファイルをダウンロードし、ウイルスに感染するおそれがあった。感染する可能性があったウイルスは比較的古い種類だったという。

同社では、外部事業者に依頼して調査を実施。アクセスログの検証やソースコードの監査、ウイルスチェックをなどを行って安全性を確認したうえで、14日13時30分にサイトを再開した。不正アクセスを受けたのはカテゴリ関連のデータベースのみで、個人情報の漏洩については否定している。

（Security NEXT - 2010/06/16 ） ツイート

PR

関連記事

不正アクセスでサイト改ざん、内部に個人情報 - コンサル会社
熊本県の就職移住支援サイトが改ざん - 偽警告でサブスクアプリに誘導
サイト改ざん被害、CMS脆弱性で - 東京都管工事工業協同組合
円谷プロの購入抽選に不正アクセス - 「当選」が「落選」に
市デジタルアーカイブサイトが改ざん、無関係サイトへ誘導 - 大町市
「まんだらけ」サーバに不正侵入、情報流出か - 通販やオークションは再開
HP作成のOEMサービスで侵害 - 顧客情報流出の可能性
生物多様性センターのサイトが改ざん、影響など調査 - 千葉県
大阪市の保育園サイトが改ざん - 個人情報流出は否定
サイトに脆弱性を突く不正アクセス - 日産財団