SQL Injection is verantwoordelijk voor 97% van alle datalekken op het internet en is daardoor veel gevaarlijker dan geavanceerde malware, aldus één van de grootste banken ter wereld. Hoewel het probleem van SQL Injection al meer dan tien jaar bekend is, komt het nog altijd voor, aldus Neira Jones, hoofd betalingen van de Britse Barclays bank. "Datalekken zijn een statische zekerheid geworden", aldus Jones tijdens de Infosecurity persconferentie in Londen. "Als je kijkt waar individuen zich zorgen om maken, dan zit het beschermen van persoonsgegevens op hetzelfde niveau als sociale problemen zoals het voorkomen van misdrijven."

Engel
Bij SQL Injection wordt de invoer van gebruikers op een website niet goed gefilterd, waardoor die direct met de database kunnen communiceren en zo toegang tot allerlei vertrouwelijke gegevens krijgen. Ondanks de problematiek van SQL Injection en het grote aantal kwetsbare webapplicaties en websites, krijgt het onderwerp weinig aandacht, aldus Jones.

Ze stelt dat zaken als Advanced Persistent Threat (APT) ten onrechte veel meer aandacht krijgen. APT is de term die wordt gebruikt voor zeer geavanceerde aanvallen en malware, vaak ingezet voor cyberspionage. "Als iemand APT in de kamer zegt, sterft er een engel in de hemel, omdat APTs niet het probleem zijn", merkt Jones op. "Ik ze niet dat ze niet bestaan, maar laten we eerst de basis op orde krijgen. Weten bedrijven zeker dat ze niet kwetsbaar voor SQL Injection zijn? En hebben ze hun webapplicaties veilig geprogrammeerd."

Impact
Ook volgens Frank van Vliet, CTO van Certified Secure, verdient SQL Injection veel meer aandacht. "APT betreft een veel kleinere groep aanvallers, terwijl SQL Injection werkelijk door iedereen gedaan kan worden. Aangezien het net zo'n grote impact kan hebben, is het daardoor voor veel meer bedrijven een risico. Daarom is het belangrijk eerst de meest voorkomende dreigingen op te lossen, voordat er naar geavanceerde problemen wordt gekeken."

Verder moeten bedrijven volgens Jones beter hun logs in de gaten houden. Het duurt ongeveer zes a acht maanden voordat bedrijven door hebben dat ze gehackt zijn. Door meer inzicht in het eigen risicoprofiel te krijgen en eenvoudige proactieve maatregelen te nemen, zoals het in kaart brengen van dreigingen, zouden bedrijven 87% van de aanvallen kunnen voorkomen.