避免企业个资外泄 加强防范SQL injectionhttp://tw.rd.yahoo.com/referurl/new...10n28ai03/*[url
更新日期:2007/11/26 13:00
东森购物、博客来网路书店以及拍卖网站，都陆续传出诈骗集团利用客户交易资料进行诈骗的情事，资安专家呼吁，企业应该加强网站的资安防护，尤其要防范骇客以「资料隐码」的方式，由企业的网站漏洞入侵资料库。
（张德厚报导）
资安专家表示，一般交易个资外泄主要是从两个管道，一个是用户端的电脑遭到了骇客以木马程式入侵，个人的帐号密码遭到侧录后，诈骗集团再以消费者的帐号密码登入网站的个人帐户，取得完整的消费讯息来进行诈骗，目前许多个案都是以此方式来进行。而如果是大规模的个资外泄，则有可能是骇客以SQL injection（资料隐码）的手法，从企业网站的漏洞入侵资料库。赛门铁克系统工程师王硕麒：『入侵之后如果可以得到管理员的权限，骇客就可直接进去看所以的资料。』
资安专家指出，根据观察有七、八成的企业资料库被入侵，骇客都是利用SQL injection的手法，而入侵之后，往往一时间也难以发现，目前还有许多企业都缺乏这方面的观念，呼吁资讯人员应加强学习相关的防范措施。法务部调查局电脑犯罪侦办科调查员钱世杰：『譬如说，他去做一些程式的过滤，或是管理上的设定，不能让你输入一些奇怪的语言文字，例如逗号、顿号等特殊的符号，那这些特别的符号就是SQL injection的关键字，把它锁住，就可以达到一定的功能。』
