クリックジャッキング

古典的なクリックジャッキングとは、攻撃者がウェブページの隠しレイヤーを使用してユーザーのカーソルの動作を操作し、ユーザーが実際に何をクリックしているのかを誤解させる状況を指します。^{[ 18 ]}

ユーザーはニュース記事に関する動画へのリンクが記載されたメールを受け取るかもしれませんが、そのニュース動画の「再生」ボタンの上または下に、Amazonの商品ページなどの別のウェブページが「隠されている」可能性があります。ユーザーは動画を「再生」しようとしますが、実際にはAmazonで商品を「購入」してしまいます。ハッカーは1回のクリックしか送信できないため、訪問者がAmazonにログインしていて、ワンクリック注文が有効になっていることを利用します。

これらの攻撃の技術的な実装は、ブラウザ間の非互換性のために困難である可能性があるが、BeEFやMetasploit Projectなどのツールは、脆弱なWebサイト上のクライアントをほぼ完全に自動化して悪用することを可能にする。クリックジャッキングは、 XSSなどの他のWeb攻撃によって促進される場合もあれば、他のWeb攻撃を促進する場合もある。^{[ 19 ] [ 20 ]}

ライクジャッキングとは、ウェブサイトを閲覧しているユーザーを騙して、意図せず「いいね！」したかったFacebookページやその他のソーシャルメディアの投稿/アカウントに「いいね！」させる悪質な手法です。 ^{[ 21 ]} 「ライクジャッキング」という用語は、Corey Ballou氏が記事「ウェブ上のあらゆるものに（安全に）いいね！」する方法」に投稿したコメントに由来しており、^{[ 22 ]}これはFacebookの「いいね！」ボタンに関する悪質な活動の可能性を説明した最初の文書化された投稿の1つです。^{[ 23 ]}

IEEE Spectrumの記事によると、Facebookのハッカソンの1つでライクジャッキングの解決策が開発された。^{[ 24 ]} Facebookの「いいね！」ボタンに存在するライクジャッキングの可能性を回避する「いいね！」ブックマークレットが利用可能である。^{[ 25 ]}

ネスト型クリックジャッキングは、従来のクリックジャッキングとは異なり、無害な元のウェブページの2つのフレーム（フレーム化されたページと上部のウィンドウに表示されるページ）の間に悪意のあるウェブフレームを埋め込むことで機能します。これは、HTTPヘッダーの脆弱性を利用したものX-Frame-Optionsで、この要素の値がの場合SAMEORIGIN、ウェブブラウザは前述の2つのレイヤーのみをチェックします。この2つのレイヤーの間に追加のフレームを追加しても検出されないため、攻撃者はこれを悪用することができます。

過去には、Google+と欠陥のあるバージョンのを使用するとX-Frame-Options、攻撃者はGoogle の画像検索エンジンに存在する脆弱性を利用して、任意のフレームを挿入することができました。Google+ にも存在していた画像表示フレームの間に、これらの攻撃者が制御するフレームが読み込まれ、制限されないため、攻撃者は画像表示ページにアクセスしたユーザーを誤解させることができました。^{[ 13 ]}

CursorJackingは、ユーザーが認識している位置からカーソルを変更するUIリドレッシング技術であり、2010年にvulnerability.frの研究者であるEddy Bordiによって発見されました。^{[ 26 ]} Marcus Niemietzはカスタムカーソルアイコンを使用してこれを実証し、2012年にはMario Heiderichがカーソルを隠すことでこれを実証しました。^{[ 27 ]}

Alternativ-Testing.fr の研究者である Jordi Chancel 氏は、Mac OS X システム上の Mozilla Firefox で Flash、HTML、JavaScript コードを使用した CursorJacking の脆弱性を発見しました (Firefox 30.0 で修正済み)。この脆弱性により、任意のコード実行やウェブカメラの盗撮が可能になります。^{[ 28 ]}

2つ目のカーソルジャッキングの脆弱性が、Jordi Chancel によってMac OS Xシステム上のMozilla Firefoxで再び発見されました (Firefox 37.0 で修正済み)。この脆弱性は、 Flash、HTML、JavaScriptコードを使用しており、Web カメラを介したスパイ行為や悪意のあるアドオンの実行につながり、影響を受けたユーザーのコンピュータ上でマルウェアを実行させる可能性があります。^{[ 29 ]}

UI を修正する他のクリックジャッキング手法とは異なり、MouseJack は、Bastille.net の Marc Newlin が 2016 年に初めて報告したワイヤレス ハードウェアベースの UI 脆弱性であり、脆弱なドングルに外部キーボード入力を注入することを可能にします。^{[ 30 ]} Logitech はファームウェア パッチを提供しましたが、他のメーカーはこの脆弱性に対応しませんでした。^{[ 31 ]}

ブラウザレス・クリックジャッキングでは、攻撃者はプログラムの脆弱性を悪用し、ウェブブラウザの存在を必要とせずに、従来のクリックジャッキングを再現します。

このクリックジャッキングの手法は、主にモバイルデバイス、特にAndroidデバイスで広く行われており、トースト通知の仕組みがその理由です。トースト通知は、通知が要求されてから実際に画面に表示されるまでにわずかな遅延があるため、攻撃者はその隙間を利用して、通知の下に隠れたダミーボタンを作成し、クリックできるようにすることができます。^{[ 7 ]}

CookieJackingは、被害者のWebブラウザからCookieを盗むクリックジャッキングの一種です。これは、一見無害に見えるオブジェクトをユーザーにドラッグさせることで行われますが、実際には、標的のCookieの内容全体をユーザーに選択させるように仕向けられています。そこから、攻撃者はCookieとその中に含まれるすべてのデータを取得できます。^{[ 15 ]}

ファイルジャッキングでは、攻撃者はウェブブラウザの機能を利用してコンピュータ内を移動し、コンピュータファイルにアクセスして個人データを取得します。これは、ブラウザが使用するファイルとフォルダの選択ウィンドウを介して、ユーザーを騙してアクティブなファイルサーバーを確立させることによって行われます。これにより、攻撃者は被害者のコンピュータからファイルにアクセスして取得できるようになります。^{[ 16 ]}

カーネギーメロン大学の研究者による2014年の論文では、ブラウザは現在のログインページのプロトコルがパスワードが保存された時のプロトコルと異なる場合、自動入力を拒否するが、一部のパスワードマネージャーはhttpsで保存されたパスワードのhttpバージョンに対して安全でない方法でパスワードを入力することが判明した。ほとんどのマネージャーはiFrameおよびリダイレクトベースの攻撃から保護されておらず、複数のデバイス間でパスワード同期が使用されていた場合に追加のパスワードが漏洩した。 ^{[ 17 ]}