というと、価格.com の事件が有名。
「価格.com SQL」で検索してみると当時の惨状とこれに対する経営者への非難の様子がわかる。
チーフ・オペレーションズ・エンジニア などという肩書きの技術者がいるところは、日本どころか世界でもまれかもしれないが...
技術的な内容はこのあたりでよく解説されているが、バインド変数を使用しているとこうした攻撃を防ぐことができる。
けれども mod_plsql みたいなところに脆弱性が潜んでいると難しい。
もっとも危険を避けるのであれば Internet ではこうしたものは使わないのが経験あるエンジニアなのかもしれない。
