Una SQL è una richiesta di eseguire un'azione su un database, in genere una pagina web che richiede un nome utente o una password. Tuttavia, dato che gran parte dei siti web non monitora le immissioni diverse dal nome utente e dalla password, un hacker può utilizzare le caselle di immissione per inviare le proprie richieste, finendo per "iniettare" codice SQL nel database. In questo modo, gli hacker possono creare, leggere, aggiornare, alterare o eliminare i dati memorizzati nel database back-end, in genere per accedere a informazioni sensibili come codici fiscali e numeri delle carte di credito, oltre ad altre informazioni finanziarie.
Dato che un attacco SQL injection può influenzare qualsiasi sito web o app che utilizzi un database basato su SQL, si tratta di uno dei modi più datati, diffusi e pericolosi di lanciare un attacco informatico. A rendere il tutto ancora più problematico, vi è la diffusione di programmi di iniezione SQL automatica, grazie ai quali gli hacker possono attaccare e rubare dati ora più che mai.
Sfortunatamente, se l'hacker è particolarmente abile, è impossibile rilevare un attacco SQL injection prima che i dati vengano resi disponibili al pubblico e/o sia avvenuto il furto. Ciò risulta particolarmente vero per gran parte degli utenti, che non ha modo di sapere se il database che stanno firmando sia stato compromesso o meno.
Dato che gli attacchi SQL injection sono rivolti ai siti web e non ai computer o ai dispositivi degli utenti, la rimozione di una SQL injection è responsabilità del sito web o dell'app. Per il singolo utente, l'unica soluzione è rimanere aggiornati e restare allerta se un'azienda annuncia una violazione dei propri sistemi di sicurezza, in modo da provvedere subito alla modifica delle informazioni di login prima che gli account possano essere violati.
