Clickjacking este o tehnică de atac prin care un site malițios suprapune elemente invizibile sau deghizate peste o pagină legitimă, păcălind utilizatorul să dea click pe un buton sau link ascuns, diferit de ceea ce crede că apasă. Numele vine din "click hijacking" — deturnarea clickului.
Cum funcționează clickjacking-ul?
Atacatorul încarcă pagina reală (de exemplu, un site bancar sau de social media) într-un cadru invizibil (iframe), poziționat exact peste un buton fals, atractiv, de pe propriul site — un joc, un premiu, un buton de "descarcă acum". Când utilizatorul crede că apasă pe elementul vizibil, de fapt apasă pe pagina reală, ascunsă dedesubt, la exact coordonatele unde se află un buton sensibil, cum ar fi "confirmă transferul" sau "activează microfonul".
De ce contează?
Pentru că exploatează încrederea vizuală, fără să aibă nevoie de parole furate sau malware instalat — victima interacționează, de fapt, cu propriul cont autentificat, fără să știe. Poate fi folosit pentru a activa fără voie setări de confidențialitate, a "aprecia" sau distribui conținut fără intenție, sau, în cazuri mai grave, pentru a confirma acțiuni sensibile pe conturi bancare sau administrative.
Cum te protejezi?
- Dezvoltatorii trebuie să folosească anteturi de securitate (precum X-Frame-Options sau Content-Security-Policy) care blochează afișarea site-ului în cadre invizibile pe alte domenii.
- Ca utilizator, evită să interacționezi cu pagini care par prea "bune ca să fie adevărate" — premii, oferte, jocuri din surse necunoscute.
- Ține browserul actualizat — unele protecții împotriva clickjacking-ului sunt integrate direct la nivel de browser.
- Verifică periodic, printr-un test de penetrare, dacă site-urile proprii sunt protejate corect împotriva încărcării în cadre străine.
Un exemplu concret
Un utilizator vede un joc online care promite un premiu la fiecare click. De fapt, deasupra jocului este suprapusă invizibil pagina de setări a contului său de social media; fiecare click "din joc" activează, pe rând, permisiuni suplimentare de acces pentru o aplicație terță, fără ca utilizatorul să realizeze ce se întâmplă cu adevărat.
Vrei să verifici dacă site-ul tău este protejat împotriva acestui tip de manipulare? Cere un test de penetrare.
Întrebări frecvente
Clickjacking necesită instalarea unui malware pe calculator?
Nu, este un atac care se întâmplă complet în browser, prin manipularea vizuală a paginii — nu presupune instalarea niciunui program.
Cum pot verifica dacă un site e vulnerabil la clickjacking?
Verificarea tehnică ține de dezvoltatori (prezența anteturilor corecte de securitate), dar un test de penetrare confirmă practic dacă protecția funcționează.