SQL-injectie is een aanvalstechniek waarbij iemand via een gewoon invoerveld — een zoekbalk, een inlogformulier, een contactformulier — stiekem databasecommando’s meestuurt. SQL is de taal waarin applicaties met hun database praten. Als een website de ingevoerde tekst zonder controle doorgeeft aan de database, kan een aanvaller die tekst zo opstellen dat de database hem als commando leest in plaats van als zoekterm. Het resultaat: klantgegevens uitlezen, inloggen zonder wachtwoord, of hele tabellen wissen.
Dit klinkt technisch, maar het raakt het MKB direct. Bijna elk bedrijf heeft een website met een formulier, een webshop of een klantportaal, en achter elk daarvan zit een database met persoonsgegevens. Een geslaagde SQL-injectie is daarmee meteen een datalek, met alle meldplicht en reputatieschade van dien. Het is bovendien een van de oudste en meest voorkomende webkwetsbaarheden en staat al jaren in de top van de OWASP-lijst met veelvoorkomende webrisico’s.
Beschermen is vooral een taak van degene die de software bouwt of levert. De standaardoplossing heet parameterized queries: invoer wordt altijd als data behandeld, nooit als commando. Daarnaast helpen invoervalidatie, een database-account met zo min mogelijk rechten, en een web application firewall die verdachte patronen blokkeert. Als opdrachtgever kun je twee dingen doen: houd je CMS, plugins en webshop-software bij, en vraag je websitebouwer of er periodiek op deze kwetsbaarheden getest wordt.
Wat OkayICT hierin doet: we controleren je website en webapplicaties op bekende kwetsbaarheden, houden de onderliggende software actueel en adviseren over aanvullende afscherming.
Meer lezen: Wat is een kwetsbaarheid? · Wat is een pentest? · Wat is een datalek?
