PayChoice 不正侵入、情報漏洩、SQLインジェクション

給与支払いサービスのPayChoice社で不正侵入事件。今月2回目。
PayChoice breached for the second time this month
PayChoice社は12万5千件の顧客にオンラインの給与支払い処理サービスを提供。
ポータルのパスワードリセット機能を悪用された。
まず正規顧客の従業員のIDが盗まれ、架空の従業員を登録、銀行への送金が行われた。

PayChoice社の同業者のコンサルをしているというSteve Friedlの分析によると、SQLインジェクションによる攻撃ではないか。
この人によるSQLインジェクション攻撃の解説。
SQL Injection Attacks by Example
ユーザー情報の獲得から、新メンバーの追加、パスワード情報の送信などの実例が解説されている。