Security Lab

Кликджекинг

Кликджекинг (англ. Clickjacking) - это технология, которая позволяет злоумышленнику получить доступ к личной информации пользователя или элементам управления системой без его ведома. Это достигается путем создания скрытого элемента на сайте, который не виден пользователю, но активируется при нажатии на видимый элемент. Например, злоумышленник может создать на сайте кнопку "Мне нравится", которая выглядит привлекательно, но когда пользователь нажимает на нее, он неожиданно передает свои личные данные злоумышленнику.
Существует несколько различных видов кликджекинга:
  • Видимый кликджекинг: Злоумышленник создает кнопку или ссылку, которая выглядит привлекательно, и заставляет пользователя нажать на нее, что приводит к неожиданному действию.
  • Скрытый кликджекинг: Злоумышленник создает невидимый элемент, который располагается поверх видимого элемента и активируется при нажатии на него.
  • Фреймовый кликджекинг: Злоумышленник использует метод фрейма, чтобы показать пользователю одну страницу, а на самом деле использовать другую страницу для доступа к информации или управления системой пользователя.
  • Кликджекинг на мобильных устройствах: Злоумышленник использует технологию кликджекинга для получения доступа к информации или управлению системой пользователя на мобильных устройствах, используя приложения или мобильные веб-сайты.
  • Кликджекинг с использованием социальных медиа: Злоумышленник использует социальные сети или мессенджеры для получения доступа к личной информации или управлению системой пользователя.
  • Кликджекинг в играх: Злоумышленник использует игры для получения доступа к личной информации или управлению системой пользователя.
Это не полный список видов кликджекинга, и новые методы могут появляться по мере развития технологий.

Злоумышленники могут красть деньги со счетов PayPal

Уязвимость обманом заставляет пользователей завершать транзакции, контролируемые злоумышленниками.

На сайтах с аудиторией 43 млн пользователей в день обнаружены скрипты для кликджекинга

Исследователи проанализировали 250 тыс. сайтов из списка Alexa и выявили техники, в настоящее время используемые для кликджекинга.

Опубликован эксплоит для уязвимости в Facebook

Уязвимость уже активно эксплуатируется спамерами, но в компании не считают ее угрозой безопасности.

Более 95% активных Android-устройств уязвимы перед ПО на основе кликджекинга

Функция Android Accessibility Service может эксплуатироваться злоумышленниками для получения контроля над устройством.

Blue Coat устранила 4 бреши в платформе SSL Visibility Appliance

Эксплуатация уязвимостей позволяла получить доступ к административной консоли и выполнять различные операции с правами администратора.