2023年に確認された攻撃

CISAとFBIは2023年6月、ファイル転送製品MOVEit TransferのSQLインジェクション脆弱性（CVE-2023-34362）を悪用する攻撃について共同で注意喚起しました。攻撃は同年5月27日から確認されたとされ、インターネットから利用できる製品が狙われました。

SQLインジェクションとは何か

SQLはデータベースへ検索や更新を指示する言語です。入力値をSQLの構造と分離せずに処理すると、本来は単なる値であるはずの入力が命令の一部として解釈されることがあります。これがSQLインジェクションの基本的な問題です。この事案は製品側の脆弱性であり、SQLを使うすべてのデータベース製品に同じ欠陥があったという意味ではありません。

侵入後に使われた不正なプログラム

注意喚起では、攻撃者がWebシェルを設置して情報を窃取したことが説明されています。Webシェルは、侵入後のサーバー上で攻撃者による操作を可能にする不正なプログラムです。この攻撃では、ファイルや設定情報などへのアクセスが問題になりました。金銭を要求する攻撃でも、必ずしもファイルの暗号化が被害の中心になるとは限りません。

修正の適用と侵害の調査は別の作業

脆弱性を修正する更新は、その欠陥を使った新たな侵入を防ぐためのものです。既に置かれた不正プログラムや、盗まれた情報まで自動的に取り消すわけではありません。一般的な対応では、更新と並行して、提供元の手順に従った侵害の調査が必要になります。本記事は過去の事例の解説であり、現在の対象バージョンや対処手順は提供元の最新情報で確認する必要があります。

CISA・FBI MOVEit Transferに関する共同注意喚起（2023年6月7日）

記事更新・資料確認日：2026年9月12日。事例・注意喚起の時点は本文に記載しています。