El clickjacking, a veces denominado ataque de reparación de la interfaz de usuario, es una técnica de ataque informático malicioso. Permite que el operador de un sitio web malicioso obtenga control sobre las acciones de un usuario cuando visita el sitio web malicioso. Un atacante utiliza varias capas transparentes u opacas para engañar al usuario para que haga clic en un enlace, botón o elemento de página web oculto. Las víctimas no son conscientes de que están haciendo clic en un elemento de una página web maliciosa y, sin saberlo, ingresan información en el sitio web malicioso.
La técnica de clickjacking se ha utilizado para varias actividades maliciosas, como robar información confidencial mediante formularios disfrazados, descargar malware o dirigir tráfico a otros sitios web maliciosos. También se puede utilizar para engañar a los usuarios para que hagan clic en un botón en el que normalmente no harían clic, como el botón "Me gusta" o un anuncio.
El ataque comienza cuando un atacante manipula el navegador de la víctima para encuadrar un elemento invisible del sitio web malicioso en la interfaz de un sitio web legítimo. Cuando la víctima hace clic en el elemento visible del sitio web legítimo, en lugar de realizar la acción deseada, el operador del sitio web malicioso tiene el control del elemento oculto que fue enmarcado. Por ejemplo, al hacer clic en el botón "Me gusta", el código del sitio web subyacente podría hacer que el usuario ingrese su nombre de usuario y contraseña sin su conocimiento.
El impacto del clickjacking puede variar desde violaciones de la privacidad hasta violaciones graves de la seguridad, incluido el control remoto de computadoras. Para evitar el ataque, los sitios web seguros deben adoptar medidas como iframes en zonas protegidas, autorización explícita para interacciones con elementos del sitio web, seguimiento de clics e identificación del origen de los clics.
