La Inyección SQL es un vector de ataque que se mantiene

La inyección SQL es un vector de ataque bastante antiguo hablando de términos tecnológicos.Hace más de 20 años que fue visto por primera vez y sigue siendo un dolor de cabeza para los analistas de ciberseguridad ya que los atacantes encuentran nuevas formas de explotar este tipo de vulnerabilidades presentes en los sistemas.

¿En qué consiste?

Una inyección SQL es un método de intrusión en el cual un atacante inyecta una consulta SQL en algún parámetro del sistema (usualmente aplicaciones web), los cuales si no se encuentran correctamente configurados pueden devolver valores a dicha consulta. Los valores consultados pueden ser nombres de tablas, listar el contenido de las mismas, listar información guardada en dichas bases y también enlistar nombres de usuario y contraseñas.
Aunque una inyección SQL no solo puede devolver consultas, también con el debido conocimiento se pueden alterar y borrar bases de datos enteras, siendo un problema muy grave para una entidad no protegida.

Ataques recientes

• VPNMentor descubrió en una empresa dedicada al análisis de datos una vulnerabilidad grave para ataques de inyección SQL dejando al descubierto datos personales de más de 17 millones de ecuatorianos.
• Freepik y Flaticon sufrieron ataques SQL de los cuales más de 8.3 millones de correos y contraseñas de usuarios fueron filtrados.
• Se habría encontrado vulnerabilidades en las Reglas de Descuento del plugin WooCommerce de WordPress para poder obtener acceso a su base de datos y modificarla a voluntad. De igual manera se descubrió que dicho plugin poseía vulnerabilidades para Cross Site Scripting (XSS).

¿Cómo protegerse?

Las estrategias de protección y seguridad informática dentro de las entidades tienen que estar a la orden del día para poder tener una respuesta acorde ante un ataque. De igual manera la validación de entradas dentro de las aplicaciones y sitios web que posee la entidad ayudan a mitigar en gran medida los ataques basados en inyección de código.