Clickjacking

Clickjacking , também conhecido como " Ataque de Redirecionamento de UI ", ocorre quando um atacante usa múltiplas camadas transparentes ou vagas para enganar um usuário, fazendo-o clicar em um botão ou link em outra página quando, na verdade, pretendia clicar na página principal. Dessa forma, o atacante "sequestra" os cliques destinados à sua página e os redireciona para outra página, provavelmente pertencente a outro aplicativo, domínio ou ambos.

Utilizando uma técnica semelhante, as teclas digitadas também podem ser sequestradas. Com uma combinação cuidadosamente elaborada de folhas de estilo, iframes e caixas de texto, um usuário pode ser levado a acreditar que está digitando a senha de seu e-mail ou conta bancária, quando, na verdade, está digitando em um frame invisível controlado pelo atacante.

Um dos exemplos mais famosos de Clickjacking foi um ataque à página de configurações do plugin Adobe Flash . Ao carregar essa página em um iframe invisível, um atacante podia enganar o usuário para que alterasse as configurações de segurança do Flash, permitindo que qualquer animação em Flash utilizasse o microfone e a câmera do computador.

O que isso significa para uma PME?

Embora possa ser difícil para o proprietário típico de uma pequena ou média empresa tomar medidas para evitar que isso aconteça, há algumas coisas que sua equipe de TI pode ajudar a configurar. De acordo com a OWASP , existem três estratégias principais que podem ser usadas para se defender contra esses ataques:

• Impedir que o navegador carregue a página no quadro usando o Opções de quadro X or Política de Segurança de Conteúdo (frame-ancestors) Cabeçalhos HTTP.
• Impedir que cookies de sessão sejam incluídos quando a página é carregada em um quadro usando o Mesmo Site atributo cookie.
• Implementar código JavaScript na página para tentar impedir que ela seja carregada em um quadro.

Observe que esses mecanismos são independentes entre si e, sempre que possível, mais de um deles deve ser implementado para fornecer uma defesa completa. Além dessas ações, estas medidas básicas devem ser implementadas para proteger seus usuários: 

• Adotar autenticação de dois fatores para impedir senha violação dos direitos do seu negócio VPN, serviços de e-mail e qualquer outro serviço crítico que seja diretamente acessível pela Internet
• Adote um gerenciador de senhas para usar pessoalmente e profissionalmente para melhorar a higiene da senha (ao mesmo tempo que abriga uma senha exclusiva de 14+ caracteres/senhas)
• Faça backup dos dados regularmente seguindo o Método de backup 3-2-1 para fazer backup de todos os seus dados críticos e confidenciais
• Treinar funcionários sobre como identificar e evitar Phishing ataques – a principal forma como ocorrem os ataques cibernéticos
• Funcionários de teste em seu treinamento para validar que eles podem identificar e excluir ameaças em vez de clicar e sucumbir a um ataque

Para saber mais sobre Clickjacking, assista a este breve vídeo:

Fontes: 

OWASP

Recursos para desenvolvedores da Mozilla

Recurso Mozilla X-Frame

SecTeoria

Leitura Adicional:

PortSwigger – Encontre vulnerabilidades de Clickjacking

Security Boulevard – Prevenção de ataques de clickjacking

Termos relacionados:

Linkjacking

Phishing

Descubra como o CyberHoot pode proteger seu negócio.

Agende uma demonstração