LDAPインジェクション攻撃とは｜被害事例と具体的な対策を解説

2026年1月27日2026年7月6日

企業のディレクトリサービスを狙ったサイバー攻撃が、近年増加傾向にあります。特に注意が必要なのが「LDAPインジェクション」です。

2024年11月にはOkta社がAD/LDAP委任認証における脆弱性を公表し、同年12月にはMicrosoft社がWindows LDAPの重大な脆弱性（CVE-2024-49113）に対する修正パッチを提供するなど、この脅威は現在進行形で進化しています。

本記事では、LDAPインジェクションの仕組みから実際の被害事例、そして実践的な防御策まで、セキュリティ担当者が知っておくべき情報を詳しく解説します。

LDAPとは何か

LDAPインジェクションを理解するには、まずLDAPそのものについて知る必要があります。

LDAP（Lightweight Directory Access Protocol）は、ディレクトリサービスにアクセスするための通信プロトコルです。企業のネットワーク環境では、社員の情報、サーバーの所在、アクセス権限といった様々なデータを一元管理する必要があります。LDAPは、こうした情報を階層構造で整理し、効率的に検索・管理できる仕組みを提供しています。

LDAPが担う重要な役割

多くの企業システムでは、LDAPを認証基盤として活用しています。Active DirectoryやOpenLDAPといったディレクトリサービスは、すべてLDAPプロトコルをベースとしています。つまり、LDAPの脆弱性は、組織全体のセキュリティに直結する問題といえます。

LDAPには以下のような特徴があります。

ユーザーIDや所属部署、電話番号などの属性情報を管理
認証・認可の仕組みを提供（LDAP認証）
階層構造による柔軟な情報管理
高速な検索処理

この便利さゆえに、LDAPは多くのWebアプリケーションやシステムで採用されています。しかし、適切なセキュリティ対策を施さなければ、インジェクション攻撃の標的となってしまうのです。

LDAPインジェクション攻撃の仕組み

LDAPインジェクション攻撃とは、不正な文字列をLDAPクエリに挿入することで、認証を突破したりデータを不正に取得したりする攻撃手法です。

攻撃の技術的メカニズム

LDAPでは、ユーザー認証時に検索フィルタという条件式を構築します。たとえば、ログイン処理では次のような形式でクエリが生成されます。

(&(uid=ユーザー名)(userPassword=パスワード))

この検索フィルタは「uidがユーザー名に一致し、かつuserPasswordがパスワードに一致する」という条件を表します。

ところが、ユーザー入力をそのまま検索フィルタに組み込むと、攻撃者は特殊な文字（メタ文字）を使って条件式を改変できてしまいます。

具体的な攻撃例を見てみましょう。攻撃者がユーザー名の欄に「admin)(&)」と入力し、パスワードに任意の値を入力したとします。すると、実際に生成される検索フィルタは次のようになります。

(&(uid=admin)(&))(userPassword=任意の値))

LDAPサーバーが処理するのは最初の(&(uid=admin)(&))の部分のみで、これは常に真（true）と評価されます。その結果、パスワードを知らなくてもadminユーザーとしてログインできてしまうのです。

攻撃に使われる主なメタ文字

LDAPインジェクションでよく悪用される文字には、以下のようなものがあります。

*（ワイルドカード）
&（AND演算子）
|（OR演算子）
!（NOT演算子）
(、)（括弧）
\（エスケープ文字）

これらの文字を巧みに組み合わせることで、攻撃者は認証の迂回だけでなく、本来アクセスできない情報の取得やLDAPツリー構造の改変まで行える可能性があります。

ブラインドLDAPインジェクション

より高度な攻撃手法として、「ブラインドLDAPインジェクション」があります。この手法では、システムの応答時間やエラーメッセージの違いを観察することで、データベース内の情報を一文字ずつ推測していきます。攻撃者は直接データを見ることができなくても、試行錯誤を繰り返すことで機密情報を抽出できてしまうのです。

実際に発生した被害事例

LDAPインジェクションは理論上の脅威ではなく、実際に深刻な被害をもたらしてきました。

事例1：ネットスーパーからの大規模情報流出（2010年）

2010年、ネットスーパーを委託経営するネオビート社で、クレジットカード情報1万件以上が流出する事件が発生しました。被害に遭ったのは、ユニー、イズミヤ、フジ、マルエツなど大手スーパー7社と直営ネットスーパーです。

調査の結果、中国のIPアドレスからの不正アクセスが確認されており、SQLインジェクションと同様の手法でシステムの脆弱性が突かれたとされています。この事件では、顧客の信頼を大きく損なう結果となり、企業イメージへの打撃も深刻でした。

参考：日本経済新聞

事例2：サウンドハウスの個人情報流出（2008年）

音楽機器販売サイトのサウンドハウスでは、97,500件の個人情報が流出しました。攻撃者はWebアプリケーションの脆弱性を突いてデータベースに侵入し、顧客情報を不正に取得したとされています。

事例3：中国サイトへの脆弱性情報掲載（2016年）

2016年、中国で脆弱性情報を掲載するWebサイト「WooYun」が、日本国内でSQLインジェクションなどの脆弱性を持つ400件のサイト情報を公開しました。この中には政府機関や上場企業、地方自治体、教育機関なども含まれていました。

情報処理推進機構（IPA）は、この事態を受けてWebサイト運営者に対して緊急の脆弱性検査を呼びかけました。この事例は、日本企業のセキュリティ意識の低さを浮き彫りにした出来事といえます。

LDAPインジェクション攻撃がもたらす影響

LDAPインジェクション攻撃が成功すると、企業に以下のような深刻な影響が及びます。

認証の突破と不正アクセス

最も直接的な被害は、認証システムの突破です。攻撃者は正規のパスワードを知らなくても、管理者権限でシステムにログインできる可能性があります。これにより、機密情報へのアクセスや、システム設定の改ざんが可能になります。

個人情報・機密データの漏洩

LDAPディレクトリには、社員の個人情報、顧客データ、システムの構成情報など、組織の重要な情報が格納されています。攻撃者がこれらのデータを取得すれば、二次的な攻撃の足がかりとなります。

特にECサイトなど、顧客のクレジットカード情報を扱うシステムでは、情報漏洩が発生すると企業の信頼は地に落ちます。先述のネオビート社の事例では、複数の大手スーパーが巻き込まれたことで、被害規模が拡大しました。

LDAPツリー構造の改変

より高度な攻撃では、攻撃者がLDAPディレクトリに侵入してLDAPツリーを改変する可能性もあります。権限の付与や剥奪を行うことで、組織全体のアクセス権限体系を混乱させる恐れがあります。たとえば、一般ユーザーに管理者権限を付与したり、正規の管理者からアクセス権を削除したりといった操作が可能になります。

事業継続性への影響

認証情報の改変により、本来の利用者がシステムにアクセスできなくなる恐れもあります。業務システムが利用できなくなれば、事業活動そのものが停止してしまう可能性があります。

法的・経済的損失

個人情報保護法違反による罰則、顧客や取引先への損害賠償、事後対応のコスト、企業イメージの失墜による売上減少など、経済的な損失も計り知れません。

LDAPインジェクション攻撃の対策方法

では、どのようにしてLDAPインジェクション攻撃を防げばよいのでしょうか。ここでは、実践的な対策を段階的に解説します。

対策1：入力値の適切なエスケープ処理

最も基本的かつ効果的な対策は、メタ文字のエスケープ処理です。

LDAPでは、検索フィルタ文字列に含まれるメタ文字をエスケープすることが確実な対策となります。たとえばPHPでは、PHP 5.6以降でldap_escape関数が提供されており、これを使用することでメタ文字を無害化できます。

$safe_username = ldap_escape($username, "", LDAP_ESCAPE_FILTER);
$filter = "(&(uid=" . $safe_username . ")(userPassword=" . $password . "))";

他の言語でも同様のエスケープ機能が提供されています。

.NET: Encoder.LdapFilterEncode()、Encoder.LdapDistinguishedNameEncode()
Java: OWASP ESAPI のencodeForLDAP()、encodeForDN()

重要なのは、DN（識別名）用のエスケープと検索フィルタ用のエスケープは異なるという点です。DNでは特定の文字（カンマ、プラス、引用符、スラッシュなど）をバックスラッシュ記法でエスケープし、検索フィルタではRFC4515に従って危険な値を\XXの形式に変換します。用途に応じて適切なエスケープ方法を選択する必要があります。

対策2：入力値の検証とホワイトリスト方式

エスケープ処理が困難な場合は、メタ文字を含む入力をエラーとして拒否する方法も有効です。

許可リストを設定し、特定の文字範囲（数字の0〜9、アルファベットのA〜Zなど）のみを入力として受け入れるようにすると、より安全性が高まります。たとえば、ユーザーIDには英数字とハイフン、アンダースコアのみを許可し、それ以外の文字が含まれていればエラーを返すといった実装です。

正規表現を使った検証も効果的です。

// ユーザーIDの検証例（英数字とアンダースコアのみ許可）
if (!/^[a-zA-Z0-9_]+$/.test(userId)) {
    throw new Error('無効な文字が含まれています');
}

ただし、入力値検証はエスケープ処理の代替ではなく、補完的な対策として位置づけるべきです。多層防御の考え方で、複数の対策を組み合わせることが重要です。

対策3：WAF（Web Application Firewall）の導入

WAFを導入することで、LDAPインジェクションだけでなく、他の様々なインジェクション攻撃やサイバー攻撃を防ぐことができます。WAFはWebアプリケーションの前段に配置され、悪意のあるリクエストを検出・遮断する役割を果たします。

WAFの利点は、アプリケーションコードを修正することなくセキュリティを強化できる点です。ただし、WAFはあくまで追加の防御層であり、根本的な脆弱性の修正を怠ってはいけません。

対策4：最小権限の原則

LDAPインジェクション攻撃の潜在的な被害を最小限に抑えるには、LDAP接続アカウントに割り当てる権限を最小限にする必要があります。

たとえば、認証のみを行うアプリケーションであれば、LDAPアカウントには検索権限のみを付与し、書き込みや削除の権限は与えないようにします。万が一攻撃が成功しても、実行できる操作が限定されるため、被害を局限化できます。

対策5：バインド認証の有効化

LDAPプロトコルがバインド認証で構成されている場合、ユーザーが渡した有効な認証情報に対して検証と認可のチェックが実行されるため、攻撃者はLDAPインジェクション攻撃を実行できません。

ただし、匿名接続や認証なしバインドの悪用には注意が必要です。これらの機能が有効になっていると、攻撃者がバインド認証をバイパスできる可能性があります。

対策6：タイムアウトと結果件数の制限

検索にタイムアウトを設定することで、サーバーが検索処理に長時間を費やすことを防げます。ほとんどの検索では、1〜2秒のタイムアウトで十分です。悪意のある検索が大量のデータを照会しようとすると、処理時間が長くなるため、これを検出・遮断できます。

また、個別のユーザーエントリを検索する際に複数のエントリが返された場合はエラーとするなど、期待される結果件数を制限することも有効です。

対策7：定期的な脆弱性診断

セキュリティ診断ツールを使用するか、第三者機関の診断サービスを利用して、LDAPインジェクション攻撃に対する脆弱性がないことを確認することが重要です。

DAST（Dynamic Application Security Testing）ツールを使用すれば、LDAPインジェクションを含む様々な脆弱性を自動的に検出できます。CI/CDパイプラインにセキュリティテストを組み込むことで、新たな脆弱性が本番環境に混入するのを防げます。

対策8：セキュリティパッチの適用

先述のOktaやMicrosoftの事例のように、LDAPやディレクトリサービスのソフトウェアには定期的に脆弱性が発見されます。ベンダーから提供されるセキュリティパッチを迅速に適用することが不可欠です。

パッチ管理プロセスを確立し、新しい脆弱性情報を継続的に監視する体制を整えましょう。

開発者が知っておくべき実装のベストプラクティス

ここでは、実際にコードを書く開発者向けに、より実践的なポイントを紹介します。

フレームワークの自動エスケープ機能を活用する

可能であれば、LDAPインジェクションから自動的に保護してくれるフレームワークを使用しましょう。自前でエスケープ処理を実装するよりも、実績のあるライブラリに頼る方が安全です。

エラーメッセージの適切な処理

詳細なエラーメッセージは攻撃者に有益な情報を与えてしまいます。LDAP接続エラーやクエリエラーが発生した場合でも、ユーザーには汎用的なエラーメッセージのみを表示し、詳細はログに記録するようにしましょう。

ログの記録と監視

不審なLDAPクエリの試行を検出するため、認証の失敗や異常なクエリパターンをログに記録し、監視する仕組みを構築しましょう。攻撃者は通常、LDAPインジェクションに成功する前に複数のクエリやリクエストを実行します。このような異常な動作パターンを早期に検出できれば、被害を未然に防げます。

コードレビューの徹底

LDAPクエリを構築する箇所は、特に注意深くレビューする必要があります。ユーザー入力がエスケープされずに直接クエリに組み込まれていないか、必ず確認しましょう。

Microsoftが提供する静的コード分析ツールには、LDAPインジェクションの脆弱性を検出するルール（CA3005）が含まれています。このようなツールを活用して、開発段階で脆弱性を発見・修正することが重要です。

まとめ

LDAPインジェクション攻撃は、企業のディレクトリサービスを標的とした深刻なセキュリティ脅威です。認証の突破、個人情報の漏洩、システムの改ざんなど、その影響は組織全体に及びます。

2024年に発生したOktaやMicrosoftの脆弱性事例が示すように、この脅威は決して過去のものではありません。むしろ、攻撃手法は日々進化しており、継続的な対策が求められます。

効果的な防御には、複数の対策を組み合わせた多層防御のアプローチが不可欠です。

入力値の適切なエスケープ処理
入力値検証とホワイトリスト方式
WAFの導入
最小権限の原則
バインド認証の有効化
定期的な脆弱性診断
セキュリティパッチの迅速な適用

これらの対策を着実に実施することで、LDAPインジェクション攻撃のリスクを大幅に低減できます。

最後に強調したいのは、セキュリティは一度対策すれば終わりではなく、継続的な取り組みが必要だという点です。新しい脆弱性の情報を常にキャッチアップし、自社のシステムに適用できる対策を検討し続けることが、組織の情報資産を守るために欠かせません。

まだLDAPインジェクション対策を実施していない場合は、今すぐにでも脆弱性診断を行い、必要な対策を講じることをお勧めします。攻撃者はあなたのシステムの弱点を常に探しています。先手を打って防御を固めることが、組織の信頼とビジネスを守る第一歩となります。

よかったらシェアしてね！

URLをコピーしました！

URLをコピーしました！