Clickjacking, às vezes chamado de ataque de reparação de IU, é uma técnica maliciosa de ataque de computador. Ele permite que um operador de site malicioso obtenha controle sobre as ações de um usuário quando ele visita o site malicioso. Um invasor usa várias camadas transparentes ou opacas para induzir o usuário a clicar em um link, botão ou elemento de página da web oculto. As vítimas não sabem que estão clicando em um elemento malicioso de uma página da Web e, sem saber, inserem informações no site malicioso.
A técnica de clickjacking tem sido usada para diversas atividades maliciosas, como roubo de informações confidenciais por meio de formulários disfarçados, download de malware ou direcionamento de tráfego para outros sites maliciosos. Também pode ser usado para enganar os usuários, fazendo-os clicar em botões nos quais normalmente não clicariam, como o botão “curtir” ou um anúncio.
O ataque começa com um invasor manipulando o navegador da vítima para enquadrar um elemento invisível do site malicioso na interface de um site legítimo. Quando a vítima clica no elemento visível do site legítimo, em vez de realizar a ação desejada, o operador do site malicioso tem o controle do elemento oculto que foi enquadrado. Por exemplo, ao clicar no botão “curtir”, o código subjacente do site pode fazer com que o usuário insira seu nome de usuário e senha sem o seu conhecimento.
O impacto do clickjacking pode variar desde violações de privacidade até graves violações de segurança, incluindo controle remoto de computadores. Para evitar o ataque, sites seguros devem adotar medidas como sandbox de iframes, autorização explícita para interações com elementos do site, rastreamento de cliques e identificação da origem dos cliques.
