クリックジャッキング

1. 定義

クリックジャッキングとは、Webサイト上で透明な要素や偽のボタンを重ねて表示し、ユーザーが意図しないクリックを誘導して情報を盗んだり操作させたりする攻撃です。画面のレイアウトを悪用し、ユーザーの視覚を欺く手口です。

2. 仕組みと種類

攻撃者は、本来のWebサイトのボタンの上に、透明なiframeなどを配置します。ユーザーが「プレゼントに応募する」と思わせてボタンをクリックさせると、実際には裏側にある「設定変更」や「情報の送信」といった処理が実行されてしまいます。

この攻撃の脅威は、ユーザーが正規のサイトを利用していると信じ込んでいる点にあります。ユーザーはクリックした自覚があっても、それが裏側の不正なアクションに繋がっていることには気づけません。視覚的なトリックを用いた狡猾な手法です。

3. 試験ごとの視点

情報セキュリティマネジメント試験や基本情報技術者試験では、Webサイトの脆弱性や攻撃手法として問われます。他の攻撃手法と仕組みの違いを理解することが重要です。特に、スクリプト注入とは異なり、画面表示を偽装する攻撃である点に注目します。

4. 紛らわしい語との違い

クロスサイトスクリプティングと混同しやすいですが、あちらはスクリプトを埋め込んで動作させる攻撃です。クリックジャッキングは見た目を偽装してユーザーの操作を誘導する点が異なります。目的は同じく情報の窃取や不正操作ですが、手段が大きく異なります。

5. 身近な例

例えば、Webサイトの「今すぐ開始」というボタンの下に、実は「全データを削除する」という隠しボタンが重なっているようなケースです。ユーザーが軽い気持ちでボタンを押すと、裏側で重大な操作が実行されてしまう可能性があります。