Die US-Navy wurde vor kurzem Opfer eines SQL Injection-Angriffs: Die Hacker-Gruppe „Team Digi7al“ konnte zwar gefasst werden, ist aber vorher erfolgreich in die Navy Web Application „Smart Web Move“ eingedrungen und hat 220.000 Personaldatensätze aus der Navy Datenbank stehlen können. Insgesamt hat die Navy 500.000 Dollar in dieser speziellen Angelegenheit ausgegeben – ein hoher Preis, den man für einen Angriffsvektor zahlt, der bereits durch Web Application Sicherheitstechnologien geschützt ist.

Der NTT Global Threat Intelligence Report hat zudem gerade erst enthüllt, dass bereits eine verhältnismäßig harmlose SQL Injection-Attacke Kosten in Höhe von über 196.000 Dollar verursacht. Die Unachtsamkeit der Unternehmen und Institutionen, die SQL Injections nach wie vor kaum Beachtung schenken, macht diese Angriffsart zu einer schier unerschöpflichen Gelddruckmaschine für Hacker.

Das  Security-Unternehmen Imperva bereits in einem Blogpost genau auf dieses Problem hingewiesen. Barry Shteiman, Director Security Strategy bei Imperva, reagiert darin auf einen Dark Reading-Artikel, der eine Studie aufführt, welche Daten zur Angriffsabwehr aus zehn Jahren untersucht hat. Was in dieser Studie jedoch nicht berücksichtigt wurde: Ein großer Teil der heutigen Angriffe sind Web Application Angriffe, inklusive SQL Injections. Denn diese Methode bietet nach wie vor einen relativ einfachen Weg, um sensible Daten zu stehlen. Und dafür werden in den meisten Fällen noch nicht einmal fortgeschrittene Fähigkeiten erfordert.

Tatsächlich sind SQL Injections so effektiv, dass erfahrene Hacker automatisierte Botnets aufsetzen und die SQL Injection-Tools dazu nutzen, um entweder in Zombies einzudringen, oder diese zu ihrem eigenen Botnet hinzu zu fügen.

Mithilfe ihres Community Defense Service haben die Experten von Imperva einen detaillierten Blick auf das Thema SQL Injection geworfen. Die untersuchten Daten aus 30 Tagen beinhalten 300.000 Angriffskampagnen, die weltweit aufgetreten sind. 24,6% dieser Angriffe waren SQL Injections.
Weitere Information zum Thema SQL Injection veröffentlicht Imperva in seiner Hacker Intelligence Initiative Studie mit dem Namen „Hacker Intelligence Summary Report – An Anatomy of a SQL Injection Attack“

Hier geht es zu Imperva