Injection SQL : qu'est-ce que c'est et comment protéger son entreprise ?

En 2023, l'Agence nationale de la sécurité des systèmes d'information (Anssi) alerte les entreprises sur une augmentation des cyberattaques de 30 %, mais également sur leur très grande variété. Les entreprises doivent aujourd'hui faire face aux multiples injections SQL qui assaillent leurs bases de données. Les informations ainsi récupérées peuvent par la suite servir de point de départ à des opérations d'ingénierie sociale s'attaquant à leurs collaborateurs.

Comment fonctionnent les attaques par injection SQL ?

Le code SQL est un langage de programmation utilisé pour l'accès, la modification ou la suppression d'informations stockées dans des systèmes de gestion des flux de données relationnelles. Une requête est envoyée au serveur SQL pour exécuter différentes actions ou fonctionnalités. Elle vise généralement à récupérer ou à mettre à jour, mais peut également être utilisée pour supprimer des informations.

L'attaque par injection SQL consiste à insérer une branche de code malveillant dans la requête envoyée au serveur SQL. L'exécution de cette chaîne de code va ainsi affecter la base et permettre aux cybercriminels de manipuler les données en les récupérant ou en les modifiant.

Plusieurs types d'injections de code SQL se sont développés au fil du temps pour s'attaquer aux vulnérabilités des systèmes.

Attaque par injection SQL intrabande

Constituant l'injection SQL la plus basique, elle représente la plus répandue de ces attaques. L'assaillant utilise un seul et même canal de communication pour perpétrer l'offensive sur le serveur SQL et en obtenir les fruits. Ce type d'attaque se subdivise en deux variantes :

• La SQLi basée sur les erreurs se fait par l'utilisation de commandes qui génèrent une réponse permettant de connaître l'infrastructure et les données disponibles dans la base à partir des retours de messages d'erreurs.
• La SQLi basée sur l'Union s'appuie sur l'utilisation de l'opérateur SQL additionné du mot-clé UNION pour combiner plusieurs instructions qui génèrent une seule réponse HTTP. Elle permet l'extraction d'informations présentes dans la base de données.

Attaque par injection SQL inférentielle

Également appelée injection SQL aveugle, elle ne permet pas le transfert de données, mais informe sur la structure de la base. Elle se fait par envoi de charges actives de données pour obtenir des réponses vraies ou fausse. Elle se décline en deux techniques :

• L'injection booléenne se fait par l'envoi d'une requête et l'observation de son retour qui permet de déterminer la véracité du résultat en fonction de la modification ou non de la réponse HTTP.
• L'injection basée sur le temps repose sur l'envoi d'une requête qui oblige la base à attendre un temps préétabli avant de répondre. Le temps de réponse va alors indiquer au pirate si sa demande est juste ou fausse.

Attaque par injection SQL hors bande

Ce type d'injection SQL utilise différents canaux de communication pour engager l'attaque et pour en obtenir les résultats. Elle ne s'utilise que lorsque le serveur, excessivement lent ou instable, ne peut supporter d'autres types d'injection ou exécuter les actions demandées.

Comment assurer la cybersécurité de votre entreprise ?

Découvrez des outils pour lutter contre l'intrusion d'individus indésirables dans vos données professionnelles.

• Risques pour les entreprises
• Cyberattaques fréquentes
• Solutions de cybersécurité
• Et plus encore

Télécharger le guide En savoir plus

Télécharger

Tous les champs sont obligatoires.

Merci d'avoir soumis le formulaire

Cliquez sur le lien pour accéder au contenu en tout temps

Télécharger

Quelles sont les conséquences d'une attaque par injection SQL pour une entreprise ?

Pour une entreprise, les dégâts occasionnés par une injection SQL peuvent apparaître sous plusieurs angles :

• L'exposition de données sensibles : ces informations personnelles et confidentielles permettent l'usurpation d'identité et constituent une violation de données, voire de conformité. Cette récupération de données sensibles expose les entreprises à des coûts potentiellement élevés pour cause de litiges ou de perte de revenus et à des dommages concernant leur réputation.
• La modification, l'ajout ou la suppression de données : l'altération des données de la base compromet son intégrité et la corrompt. La suppression d'enregistrement ou de tables peut alors générer des dommages irréversibles pour les applications concernées et paralyser les marques.
• Le vol d'identifiants : il va permettre d'usurper l'identité d'un utilisateur de l'application ou d'obtenir le statut d'administrateur. Les pirates peuvent alors utiliser l'application pour générer des mouvements non autorisés ou pour y introduire des fonctionnalités nouvelles, voire illégales.
• Les accès latéraux : ils permettent aux pirates d'accéder à tout le réseau informatique de l'entreprise par le biais d'une seule interface web, application ou site. Tous les systèmes sensibles de la marque sont alors exposés, notamment les systèmes financiers ou les bases de données clients.

Quelle serait la cible d'une attaque par injection SQL ?

Les attaques SQL ciblent les sites et applications web en relation avec des systèmes de flux de données relationnelles. Divers domaines de l'activité économique sont plus exposés à ce type de cyberattaques. En effet, les pirates perpètrent généralement leur méfait en direction de marques, entreprises ou organisations à fort potentiel comme les systèmes bancaires, hospitaliers, de l'éducation, les réseaux sociaux ou sites de e-commerce. Ils accèdent ainsi à une multitude d'informations personnelles et professionnelles, non seulement sur les collaborateurs, mais également sur les clients de ces sociétés.

Exemples d'utilisation d'une injection SQL

Le Service National Universel (SNU) de l'Éducation nationale

En décembre 2023, le ministère de l'Éducation nationale a signalé une attaque au procureur de la République qui a ouvert une enquête. Ce sont les informations personnelles de 150 000 individus qui ont été concernées par ce vol de données. La cyberattaque a induit l'accès et la récupération d'informations telles que le nom, prénom, adresse e-mail ou postale et date de naissance des intéressés. Les victimes ont donc été sensibilisées au risque de phishing à la suite de cette campagne SQLi.

ChatGPT

Selon la société de cyberintelligence Group-IB, 101 000 comptes utilisateurs ChatGPT ont été impactés par une attaque par injection SQL. La disponibilité des paires d'identification sur le dark web a connu une forte augmentation avec un pic en juin 2023. L'Asie et le Pacifique sont les régions les plus touchées par ce phénomène. Les vols ont affecté les comptes ChatGPT, mais également les données des navigateurs web.

France Travail

Les données de multiples demandeurs d'emploi, notamment ceux enregistrés en février 2022 et antérieurement, ont été compromises en août de cette année. Les informations récupérées par les pirates concernent le nom et le numéro de sécurité sociale, mais également des adresses e-mail, numéros de téléphone ou mot de passe. L'agence nationale certifie néanmoins que les coordonnées bancaires des demandeurs n'ont pas été touchées.

L'institut européen des normes de télécommunication (ETSI)

L'institut de télécom fait état d'une attaque cybernétique affectant plus de 900 de ses membres et partenaires dans 65 pays. La base de données des utilisateurs du portail a ainsi été extraite exposant des informations telles que les adresses e-mail, voire d'autres plus confidentielles.

Quelle est la meilleure pratique pour se défendre contre l'injection SQL ?

Compte tenu de leurs conséquences, les entreprises doivent envisager de se défendre spécifiquement contre les attaques SQLi.

Pour ce faire, elles doivent tout d'abord penser la sécurité de leurs sites et applications dès leur création. Les instructions préparées et les requêtes paramétrées contribuent à faire la distinction entre les données légitimes et les commandes envoyées par des pirates, offrant un nettoyage régulier des entrées. Les procédures stockées vont garantir la validation et l'assainissement des entrées utilisateurs avant toute utilisation.

Le principe de moindre privilège autorise uniquement les accès nécessaires à chaque utilisateur. Il peut être renforcé par un changement régulier et un renforcement des mots de passe. De même, les systèmes de double authentification permettent de sécuriser l'identité de l'utilisateur qui cherche à se connecter à la base.

Le code de l'application ou du site web doit être mis à jour périodiquement pour la correction des vulnérabilités connues. De plus, les pare-feux et logiciels anti-malware constituent des couches supplémentaires de sécurisation qui pourront détecter et bloquer les injections SQL par l'analyse du trafic.

Les entreprises doivent également effectuer des tests de vulnérabilité pour savoir si un site est fiable. Il en va de même pour les applications. Les analyses peuvent se faire manuellement ou à l'aide d'outils automatisés. Une fois la vulnérabilité identifiée, il sera nécessaire de la corriger par certains ajouts comme la validation ou l'assainissement des entrées.

Pour aller plus loin, découvrez comment lutter contre l'intrusion d'individus dans vos données en téléchargeant le guide sur la cybersécurité ; ou découvrez l'outil de gestion des données.