Clickjacking

Serangan web yang menipu pengguna untuk berinteraksi dengan elemen yang tersembunyi atau disalahartikan alih-alih elemen yang terlihat.

Definisi

Clickjacking (juga disebut click hijacking atau UI redressing) adalah eksploit keamanan di mana aktor jahat mengoverlay atau menyamarakan elemen halaman web sehingga ketika pengguna percaya mereka mengklik tombol, tautan, atau kontrol yang terlihat, mereka sebenarnya mengaktifkan tindakan yang tidak diinginkan pada antarmuka tersembunyi. Ini sering memanfaatkan iframe transparan atau elemen HTML/CSS yang terstruktur berlapis untuk menipu pengguna agar memicu peristiwa seperti mengotorisasi pembayaran, mengaktifkan akses kamera/mikrofon, atau mengirimkan data sensitif tanpa kesadaran. Secara esensial, clickjacking mencuri masukan pengguna dengan membuat mereka tidak sengaja berinteraksi dengan konten tersembunyi yang melakukan tindakan dengan konsekuensi signifikan. Clickjacking tetap menjadi risiko yang signifikan dalam keamanan web, memerlukan pengembang untuk mengadopsi langkah-langkah perlindungan terhadap penipuan berbasis antarmuka ini.

Kelebihan

• Membantu profesional keamanan memahami teknik penjelajahan antarmuka pengguna secara mendalam.
• Menyoroti kelemahan dalam desain browser dan aplikasi untuk strategi pertahanan yang lebih baik.
• Dapat memberikan informasi untuk pengembangan header perlindungan seperti X-Frame-Options dan CSP frame-ancestors.

Kekurangan

• Dapat menyebabkan transaksi keuangan yang tidak sengaja atau pembelian tanpa izin.
• Dapat mengungkap informasi sensitif seperti kredensial atau data pribadi kepada penyerang.
• Memungkinkan penyerang untuk mengaktifkan izin perangkat (misalnya, kamera) tanpa izin pengguna.
• Mudah dieksekusi dengan HTML/CSS dasar dan manipulasi iframe.

Kasus Penggunaan

• Pelaku kejahatan siber menipu pengguna untuk menyukai atau berbagi konten di platform media sosial (likejacking).
• Penyerang menyisipkan tombol pembayaran untuk memicu transaksi yang tidak sah.
• Halaman jahat memicu pengguna untuk tidak sengaja memberikan akses ke kamera atau mikrofon mereka.
• Tautan menipu menyebabkan instalasi malware atau pengalihan ke situs berbahaya.
• Penilaian keamanan mensimulasikan clickjacking untuk menguji pertahanan antarmuka pengguna dalam aplikasi web.