クリックジャッキングとは？

クリックジャッキングの意味

透明化した罠のボタンやリンクを正規のページの上に重ねて表示し、利用者が意図せずクリックしてしまうよう仕向ける攻撃手法。

クリックジャッキングの具体例

「動画を再生」ボタンに見せかけたページの裏に、SNSの「いいね」ボタンや不正な購入ボタンを透明で重ねておき、利用者が気づかずクリックしてしまうよう誘導する。

クリックジャッキングは試験でどう引っ掛けられる？

クリックジャッキングは利用者に「自分の意思で」正規サイト上の操作をさせる攻撃で、リクエストを偽造して送りつけるCSRF（クロスサイトリクエストフォージェリ）とは仕掛け方が違う。したがって対策も異なり、CSRFはトークンで防ぐが、クリックジャッキングは他サイトから枠内に埋め込まれるのを拒否する設定（X-Frame-Options／CSPのframe-ancestors）で防ぐ。

クリックジャッキングと関連する用語

• Webアプリケーションの脆弱性（基礎の分類）

クリックジャッキングが出た過去問

• Webサイトにおいて、クリックジャッキング攻撃の対策に該当するものはどれか。

  正解：HTTPレスポンスヘッダにX-Frame-Optionsを設定する。

  要点：クリックジャッキング対策はX-Frame-Optionsでフレーム埋込みを禁止

  クリックジャッキングは、攻撃者のページに標的サイトを透明なインラインフレームで重ね、利用者に意図しないボタンを押させる攻撃である。X-Frame-Optionsレスポンスヘッダを設定して自サイトが他サイトのフレーム内に埋め込まれることを禁止すれば、この重ね合わせ自体を防げる。

  出典：令和3年度 春期 応用情報技術者試験 午前 問37（IPA）