Clickjacking

El clickjacking , también conocido como " ataque de manipulación de la interfaz de usuario ", consiste en que un atacante utiliza múltiples capas transparentes o ambiguas para engañar al usuario y lograr que haga clic en un botón o enlace de otra página, cuando su intención era acceder a la página principal. De esta forma, el atacante "secuestra" los clics destinados a su página y los redirige a otra, probablemente perteneciente a otra aplicación, dominio o ambos.

Mediante una técnica similar, también se pueden interceptar las pulsaciones de teclas. Con una combinación cuidadosamente diseñada de hojas de estilo, iframes y cuadros de texto, se puede engañar al usuario haciéndole creer que está escribiendo la contraseña de su correo electrónico o cuenta bancaria, cuando en realidad está escribiendo en un marco invisible controlado por el atacante.

Uno de los ejemplos más conocidos de Clickjacking fue un ataque contra la página de configuración del plugin Adobe Flash . Al cargar esta página en un iframe invisible, un atacante podía engañar al usuario para que modificara la configuración de seguridad de Flash, permitiendo así que cualquier animación Flash utilizara el micrófono y la cámara del ordenador.

¿Qué significa esto para una PYME?

Si bien puede resultar difícil para el propietario típico de una pyme tomar medidas para evitar que esto ocurra, su personal de TI puede ayudarle a configurar algunas cosas. Según OWASP , existen tres estrategias principales que se pueden utilizar para defenderse de estos ataques:

• Evitar que el navegador cargue la página en el marco mediante el Opciones de marco X or Política de seguridad de contenido (antepasados del marco) Encabezados HTTP.
• Evitar que se incluyan cookies de sesión cuando se carga la página en un marco mediante el MismoSitio atributo de cookie.
• Implementar código JavaScript en la página para intentar evitar que se cargue en un marco.

Tenga en cuenta que estos mecanismos son independientes entre sí y, siempre que sea posible, se deben implementar más de uno para brindar una defensa exhaustiva. Además de estas acciones, se deben implementar las siguientes medidas básicas para proteger a sus usuarios: 

• Adoptar autenticación de dos factores para prevenir un la contraseña incumplimiento de su negocio VPN, servicios de correo electrónico y cualquier otro servicio crítico al que se pueda acceder directamente a través de Internet
• Adopta un administrador de contraseñas para usar de manera personal y profesional para mejorar la higiene de las contraseñas (al mismo tiempo que se guarda una contraseña única de más de 14 caracteres).frases de contraseña)
• Realice copias de seguridad de los datos periódicamente después de Método de respaldo 3-2-1 para realizar copias de seguridad de todos sus datos críticos y confidenciales
• Capacitar a los empleados sobre cómo detectar y evitar phishing, Ataques: la principal forma en que ocurren los ciberataques
• Empleados de prueba en su entrenamiento para validar que pueden detectar y eliminar amenazas en lugar de hacer clic y sucumbir a un ataque

Para obtener más información sobre Clickjacking, mire este breve video:

Fuentes: 

OWASP

Recursos para desarrolladores de Mozilla

Recurso X-Frame de Mozilla

SecTheory

Lecturas adicionales:

PortSwigger: Encuentra vulnerabilidades de clickjacking

Security Boulevard: Prevención de ataques de clickjacking

Términos relacionados:

Secuestro de enlaces

Phishing

Descubra cómo CyberHoot puede proteger su negocio.

Agenda una demo