W sieci niemal na każdym kroku musimy zachować czujność. Jesteśmy narażeni na ataki, które mogą wykraść nasze dane. Świadomość o tym rośnie, dlatego też cyberprzestępcy muszą wykazywać się coraz większą kreatywnością w wymyślaniu sposobów kradzieży. Jednym z nich jest clickjacking. Co to jest?
Spis treści
Co to jest clickjacking?
W sieci nie możemy czuć się w pełni bezpiecznie. Wystarczy chwila nieuwagi, by paść ofiarą jednego z kreatywnych sposobów oszustwa. Nie brałeś udziału w konkursie, a nagle otrzymałeś informację, że wygrałeś telefon? Nie ma takich scenariuszy. Wiele osób już to wie i ignoruje takie komunikaty. Jednak zdarza się, że nawet najbardziej wyczulona osoba kliknie coś, co wygląda zupełnie niewinnie, nie wiedząc, że pod widocznym elementem strony ukryto inną funkcję. Właśnie na tym polega clickjacking, czyli metoda manipulowania interfejsem w taki sposób, aby użytkownik wykonał działanie inne od zamierzonego.
Jak działa clickjacking?
Clickajcking jest niemniej podstępną metodą, jak inne, które możemy spotkać w sieci. Coś ją jednak wyróżnia. Użytkownik nie musi wejść na podejrzaną stronę ani świadomie uruchomić niebezpiecznego pliku, ponieważ atak może zostać ukryty pod elementem, który wygląda na całkowicie zwyczajny. Cyberprzestępca wykorzystuje nakładające się warstwy strony, przez co kliknięcie widocznego przycisku może w rzeczywistości uruchomić inną funkcję. W ten sposób clickjacking attack może wykorzystać zarówno elementy znajdujące się po stronie klienta, jak i rozwiązania zastosowane po stronie serwera.
Czym grozi clickjacking?
Teraz pora zastanawiać się, czemu właściwie należy się obawiać jakiegoś linku. Przecież chyba nie przekieruje nas od razu do konta w banku i nie zrobi sam przelewu dla oszustów? Czy aby na pewno? Skutki kliknięcia mogą być znacznie poważniejsze niż samo otwarcie nieznanej strony, zwłaszcza gdy ukryty element pozwala wykonać określoną akcję bez pełnej świadomości użytkownika. W zależności od sposobu przeprowadzenia ataku zagrożone mogą być m.in.:
- dane logowania i inne informacje uwierzytelniające,
- poufne dane dostępne na stronie,
- wykonanie niepożądanej akcji na koncie użytkownika,
- pobrania złośliwego oprogramowania.
Co to znaczy dla przeciętnego Kowalskiego? To już zależy od celu kradzieży. Oszustwo faktycznie może doprowadzić do przejęcia konta, kradzieży środków zgromadzonych na koncie lub wykonanie w naszym imieniu operacji finansowej, jeśli atakujący wykorzysta dostęp do odpowiednio zabezpieczonego serwisu. Skradzione dane mogą zostać również wykorzystane do dalszych oszustw, np. podszywania się pod ofiarę, przejmowania kolejnych kont czy prób wyłudzenia pieniędzy lub zobowiązań finansowych na jej dane. Jeżeli natomiast dojdzie do pobrania złośliwego oprogramowania, przestępcy mogą uzyskać znacznie szerszy dostęp do urządzenia i przechwytywać informacje, które następnie posłużą do kolejnych ataków.
Jak rozpoznać clickjacking?
Do czynienia z clickjackingiem mamy, gdy strona zachowuje się inaczej, niż można by oczekiwać po wykonaniu konkretnej czynności, np. po kliknięciu przycisku logowania lub potwierdzenia płatności. Niepokój powinny wzbudzić także nagłe prośby o ponowne podanie hasła, zatwierdzenie operacji czy wykonanie działania, którego wcześniej strona od nas nie wymagała. Warto również dokładnie sprawdzić adres witryny, szczególnie gdy interfejs przypomina znany serwis, ale jego URL wygląda nietypowo. Jeśli coś się nie zgadza, najlepiej nie wykonywać kolejnych kliknięć i opuścić stronę.
Jak bronić się przed clickjackingiem?
Na szczęście nie pozostajemy bezbronni na tę formę oszustwa. Wraz z pojawianiem się coraz to nowszych pomysłów cyberprzestępców, pojawiają się również nowe sposoby walki z nimi. Właściciel strony może zastosować zabezpieczenia, które uniemożliwią przestępcom ukrycie na niej dodatkowych elementów, natomiast internauta powinien przede wszystkim nauczyć się rozpoznawać podejrzane zachowania witryn. Ochrona przed clickjackingiem obejmuje:
- zabezpieczenie strony przez jej administratora – zastosowanie odpowiednich nagłówków HTTP, takich jak X-Frame-Options czy CSP frame-ancestors, ogranicza możliwość osadzenia witryny w niewidocznej ramce,
- ochronę kodu strony – administrator może zastosować dodatkowe mechanizmy, które wykrywają próbę uruchomienia witryny w ramce i blokują takie działanie,
- sprawdzanie adresu strony – przed wpisaniem hasła, danych karty czy zatwierdzeniem płatności warto upewnić się, że znajdujemy się na właściwej stronie,
- reagowanie na nietypowe zachowanie witryny – jeśli strona nagle prosi o ponowne podanie danych, potwierdzenie operacji lub wykonanie czynności, której wcześniej nie wymagała, lepiej przerwać działanie.
