Клікджекінг (clickjacking, UI redressing) — атака, яка змушує користувача натиснути не на те, що він бачить, зазвичай завдяки невидимій вебсторінці, накладеній поверх нешкідливої.
Як працює клікджекінг
Зловмисник створює сторінку-приманку — гру, відеоплеєр або кнопку «Отримати приз» — і завантажує поверх неї цільовий сайт у прозорому <iframe>. Жертва думає, що натискає на приманку, але клік насправді припадає на кнопку прихованого сайту, де вона вже авторизована завдяки своїм файлам cookie. Ваду описано як CWE-1021 (неналежне обмеження відображуваних шарів інтерфейсу).
Термін запровадили Джеремайя Гроссман і Роберт Хансен 2008 року, показавши, що прихована сторінка налаштувань Adobe Flash дає змогу ввімкнути вебкамеру й мікрофон жертви. Різновиди:
- Лайкджекінг — користувач непомітно для себе ставить «лайк» або поширює контент у соцмережі.
- Курсорджекінг — відображення підробленого курсора зі зміщенням відносно справжнього.
- Багатокрокові атаки, у яких користувача проводять через кілька кліків чи перетягувань.
Чому це важливо
Як і міжсайтова підробка запиту, клікджекінг змушує жертву діяти з власними правами: змінювати налаштування облікового запису, надавати дозволи OAuth чи браузера, переказувати гроші або видаляти дані. Оскільки жертва робить справжній клік, захист від підроблених запитів, наприклад CSRF-токени, тут не допомагає. Особливо небезпечний клікджекінг у поєднанні з міжсайтовим скриптингом або на сторінках, де одне натискання підтверджує платіж, видалення акаунта чи надання доступу сторонньому застосунку.
Як запобігти
- Надсилати директиву
Content-Security-Policy: frame-ancestors(CSP), щоб контролювати, хто може вбудовувати ваші сторінки. - Для старих браузерів використовувати заголовок
X-Frame-Options: DENYабоSAMEORIGIN(RFC 7034). - Встановлювати сесійним cookie атрибут
SameSite, щоб вбудовані у фрейми сторінки їх не отримували. - Вимагати повторного підтвердження для важливих дій.
