Clickjacking

Um ataque web enganoso em que um atacante engana o usuário para interagir com elementos ocultos ou mal representados em vez dos visíveis.

Definição

Clickjacking (também chamado de click hijacking ou redirecionamento de interface) é um exploit de segurança no qual atacantes maliciosos sobrepõem ou disfarçam elementos de página web para que, quando um usuário acredita estar clicando em um botão, link ou controle visível, ele esteja realmente ativando uma ação não desejada em uma interface oculta. Isso frequentemente utiliza iframes transparentes ou elementos HTML/CSS sobrepostos para enganar os usuários a dispararem eventos como autorizar pagamentos, habilitar acesso à câmera/microfone ou enviar dados sensíveis sem perceber. Em essência, ele rouba a entrada do usuário fazendo com que interajam inconscientemente com conteúdo oculto que realiza ações com consequências significativas. O clickjacking continua sendo um risco notável na segurança da web, exigindo que os desenvolvedores adotem medidas de proteção contra essa enganação baseada em interface.

Prós

• Ajuda os profissionais de segurança a compreender técnicas de exploração de interface de forma aprofundada.
• Destaca pontos fracos no design de navegadores e aplicações para estratégias defensivas aprimoradas.
• Pode informar o desenvolvimento de cabeçalhos de proteção como X-Frame-Options e CSP frame-ancestors.

Contras

• Pode levar a transações financeiras involuntárias ou compras não autorizadas.
• Pode expor informações sensíveis como credenciais ou dados pessoais aos atacantes.
• Permite que atacantes habilitem permissões de dispositivos (ex.: câmera) sem consentimento do usuário.
• Fácil de executar com HTML/CSS básico e manipulação de iframes.

Casos de uso

• Cibercriminosos enganam um usuário para curtir ou compartilhar conteúdo em plataformas sociais (likejacking).
• Atacantes sobrepõem botões de pagamento para iniciar transações não autorizadas.
• Páginas maliciosas incentivam os usuários a concederem acesso inconsciente à suas câmeras ou microfones.
• Links enganosos causam instalação de malware ou redirecionamento para sites perigosos.
• Avaliações de segurança simulam clickjacking para testar defesas de interface em aplicações web.