Clickjacking

Un ataque web engañoso donde un atacante engaña a un usuario para que interactúe con elementos ocultos o mal representados en lugar de los visibles.

Definición

Clickjacking (también llamado click hijacking o redresado de la interfaz de usuario) es una explotación de seguridad en la que los actores malintencionados superponen o ocultan elementos de una página web de manera que cuando un usuario crea que está haciendo clic en un botón, enlace o control visible, en realidad está activando una acción no deseada en una interfaz oculta. Esto suele aprovechar iframes transparentes o elementos HTML/CSS superpuestos para engañar a los usuarios y hacer que desencadenen eventos como autorizar pagos, habilitar el acceso a la cámara/microfono o enviar datos sensibles sin conciencia. En esencia, roba la entrada del usuario haciendo que interactúen sin darse cuenta con contenido oculto que realiza acciones con consecuencias significativas. El Clickjacking sigue siendo un riesgo notable en la seguridad web, requiriendo que los desarrolladores adopten medidas de protección contra este tipo de engaño basado en la interfaz.

Ventajas

• Ayuda a los profesionales de la seguridad a comprender en profundidad las técnicas de explotación de la interfaz de usuario.
• Destaca los puntos débiles en el diseño del navegador y las aplicaciones para estrategias defensivas mejoradas.
• Puede informar el desarrollo de encabezados de protección como X-Frame-Options y CSP frame-ancestors.

Desventajas

• Puede llevar a transacciones financieras no intencionadas o compras no autorizadas.
• Puede exponer información sensible como credenciales o datos personales a los atacantes.
• Permite a los atacantes habilitar permisos de dispositivos (por ejemplo, webcam) sin consentimiento del usuario.
• Es fácil de ejecutar con HTML/CSS básico y manipulación de iframes.

Casos de uso

• Los ciberdelincuentes engañan a un usuario para que le de "me gusta" o comparta contenido en plataformas sociales (likejacking).
• Los atacantes superponen botones de pago para iniciar transacciones no autorizadas.
• Páginas maliciosas impulsan a los usuarios a otorgar sin darse cuenta acceso a sus cámaras o micrófonos.
• Enlaces engañosos causan la instalación de malware o redirección a sitios dañinos.
• Las evaluaciones de seguridad simulan el Clickjacking para probar las defensas de la interfaz en aplicaciones web.