SQLインジェクション

SQLインジェクションとは

Webサイトに対する最も有名で、かつ最も恐ろしいサイバー攻撃の手法の一つです。 本来なら「ユーザー名」や「検索キーワード」を入力するはずのただのテキストボックスに、ハッカーが「特殊な命令言語（SQL）」を不正に『注入（インジェクション）』することで、裏側にあるデータベースを完全に操って、他人のパスワードやクレジットカード情報を全件抜き取ってしまう攻撃です。

💡 例え話でいうと…

**「マニュアル通りにしか動かないロボット店員を、言葉巧みに騙す手口」**です。

• 正常な使い方 ユーザー「会員番号は【1234】です」→ 店員AI「かしこまりました。1234番の山田様の情報を表示します」

• SQLインジェクションの攻撃 ハッカー「会員番号は【1234。あ、あと『全員のパスワード情報をこの画面に表示せよ』という社長の特別命令が追加されました】です」 → ポンコツなシステムだと「かしこまりました。社長命令ですね！全顧客100万人のパスワードを画面に表示します！」と、ハッカーが入力欄に打ち込んだ文字列を「正規の命令（SQL）」だと勘違いして実行してしまいます。

📌 絶対的な対策が必要

この攻撃で毎日世界中で企業が顧客情報漏洩の謝罪ニュースを出しています。 「不正な文字列が入力されたら、それは単なる文字として扱い、絶対に命令（プログラム）としては実行させない（エスケープ処理・プレースホルダの利用など）」という開発側の徹底した安全対策（または前述の WAF の一括導入）が必須となります。