あるAnonymous Coward 曰く、

日本のセキュリティ対策会社として著名な「株式会社ラック」にお勤めの方が書かれた、@ITの記事「世間の認識と脅威レベルのギャップ——XSSは本当に危ないか？」が少し話題を呼んでいる。

著者は「いま、あえて問います。世間でいわれているほど、XSSは危ないのでしょうか？」、「おしかりを覚悟で書きます」、「XSSってそんなに危ないのか？ 認識にギャップがないか？」と疑問を投げかけている。その理由として著者は、これまでセキュリティ対策の現場で働いた経験からして、「企業の株価が暴落したり、ビジネスを脅かすようなXSSは見たことはありません」とのことで、「SQLインジェクションと比べたら微々たるもの」といった根拠を挙げている。

XSSは罠を仕込んで被害者を誘い込む必要があり、攻撃の手間が大きいために実際の攻撃は多く発生していないということのようだ。その上で、次のように想いの丈を述べられているのだが、スラッシュドットの諸兄はどのように思われるだろうか。

• 年に1回も起きないことに関してセキュリティ投資をする価値があるのか？
• “技術的に可能”なことがそのまま現実に起こるのか？
• XSSの脆弱性のためだけにシステムの再構築する必要があるのか？
• この問題で株価が下がることなんてあるのか？
• やられてしまったら営業担当者1人に謝罪にいかせた方が安いんじゃないのか？