セキュリティアナリストが「Googleハッキング」を警告

Googleなどの検索エンジンは、セキュリティ専門家によると、機密データを保持するWebアプリケーションに対するハッカーの利用がますます増えています。

データセキュリティに対する認識が高まっても、社会保障番号を盗むのに数秒かかるデータベースとアプリケーションセキュリティ会社のImpervaの創設者兼CTO（最高技術責任者）Amichai Shulmanは述べています。

社会保障番号がWeb上でさえあるという事実は人間的な誤りです。情報が最初に公開されるべきではありません。シュルマン氏によると、Impervaは最近、Googleに所属するIP（Internet Protocol）アドレスからのSQLインジェクション攻撃を実行する方法を発見したという。

SQLインジェクション攻撃では、悪意のある命令がWebベースのフォームに入力され、Webアプリケーションによって応答されます。

Shulmanは、月曜日のRSA Conferenceでのプレゼンテーションで攻撃の仕組みを詳細に説明することを拒否しましたが、Googleの広告システム。 GoalagやGooscanのようなツールは、Web上での広範な検索を特定の目的のために実行することができると、Googleが通知されている、と彼は述べている（

）。これらの問題を抱えているWebサイトのリストを返す」と述べた。 "これは非常に強力なハッキング機能です。"

もう1つの攻撃方法は、特定の脆弱性を見つけるために検索エンジンを使用するいわゆるGoogleワームです。シュルマン氏は、追加のコードを追加することで、この脆弱性が悪用される可能性があると述べた。シュルマン氏は、「2004年にはこれがSFであった」と述べた。 「2008年には、これは苦しい現実です。」Googleと他の検索エンジンは虐待を止めるための対策を講じています。たとえば、Googleは、一回の検索で社会保障番号を取得できる特定の種類の検索を停止しました。また、1分間に送信される検索要求の数に制限があり、脆弱なWebサイトの大量検索が遅くなる可能性があります。

実際には、ハッカーにはもう少し患者を忍ばせるだけです。シュルマン氏によると、「サイトマスキング」と呼ばれる別の攻撃があり、合法的なWebサイトを単純に攻撃しているという。検索結果から消えます。

Googleの検索エンジンは、重複したコンテンツを持つサイトに不利益を与え、そのインデックスから1つを削除します。ハッカーは、競合他社のWebページへのリンクを持つが、プロキシサーバーを通してフィルタリングされたWebサイトを作成することで、これを利用することができます。

Googleはプロキシのドメインのコンテンツを索引付けします。これは、プロキシサーバーを増やして十分な時間があれば、対象となるWebページを重複していると見なし、そのインデックスから削除する」とShulman氏は述べている。

一方的なWebサイト管理者シュルマン氏は、これに対して防衛することで、彼らのウェブサイトが検索エンジンの正当なIPアドレス以外のもので索引付けされるのを防ぐことができると述べた。