クリックジャッキングとは？攻撃に該当するものは？事例・対策まで

クリックジャッキングは、Webサイトの脆弱性を悪用してユーザーを欺き、意図しないクリックやタップを誘導する悪質な攻撃手法です。
透明な罠ページを正規ページ上に重ねて、ユーザーの操作を奪取する手口が用いられ、個人情報の不正取得や不正送金などの被害につながる可能性があります。
本記事では、クリックジャッキングの仕組みや特徴、具体的な攻撃手法、それによる被害事例について詳しく解説します。
さらに、サイト運営者が取るべき対策や、ユーザーができる予防法についてもご紹介。クリックジャッキングの脅威から身を守るために必要な知識を身につけましょう。

この記事の目次

1 クリックジャッキングとは
2 クリックジャッキングの攻撃手法
3 クリックジャッキングによる被害
4 クリックジャッキング対策
5 まとめ

クリックジャッキングとは

クリックジャッキング（Clickjacking）は、Webサイトの脆弱性を突いて、ユーザーを騙して意図しないクリックやタップをさせる攻撃手法です。攻撃者は、透明な罠のページを正規のページの上に重ねて配置し、ユーザーのクリックを誘導します。
ユーザーは見えている正規ページをクリックしたつもりでも、実際には罠ページ上のボタンなどをクリックさせられてしまうのです。

クリックジャッキングの定義

クリックジャッキングは、以下のように定義されます。

ユーザーの意図しないクリックやタップを誘導する攻撃手法
透明な罠ページを正規ページ上に重ねる手口を用いる
ユーザーのアクションを奪取し、攻撃者の意図する操作を実行させる

この攻撃は、Webブラウザの仕様を悪用しており、ユーザーを欺くために巧妙に作られています。攻撃者は、罠ページを透明化したり、画面外に配置したりすることで、ユーザーに気づかれないように仕込みます。

クリックジャッキングの仕組み

クリックジャッキングの典型的な仕組みは以下の通りです。

攻撃者は、罠となるWebページを用意する
罠ページには、攻撃対象の正規ページを iframe などで埋め込む
罠ページ上に、透明化したボタンなどの罠を仕込む
罠の位置は、正規ページの意図したクリック箇所と重なるよう調整する
ユーザーを罠ページに誘導し、正規ページを操作させる
ユーザーが正規ページをクリックすると、実際は罠の部分がクリックされる

この一連の流れにより、ユーザーは攻撃者の意図した操作を行わされてしまいます。例えば、ユーザーの知らない間に、SNSで意図しない投稿がされたり、オンラインバンクで送金されたりする可能性があるのです。

クリックジャッキングの特徴

クリックジャッキングには、以下のような特徴があります。

特徴	説明
難検知性	罠ページは透明化され、ユーザーから見えないため、攻撃に気づきにくい。
正規ページの悪用	攻撃には正規のWebサイトが利用されるため、ユーザーは安心して操作してしまう。
多様な攻撃シナリオ	リンクのクリック、フォームの送信、権限の承認など、様々な操作を強制できる。

クリックジャッキングは検知が難しく、攻撃の幅が広いことから、Webサイト運営者・ユーザー双方にとって注意が必要な脅威と言えます。
サイト運営者は適切な対策を施し、ユーザーは不審な動作があれば慎重に対処することが求められます。

クリックジャッキングの攻撃手法

クリックジャッキングには、様々な攻撃手法が存在します。代表的なものとして、透明なIFRAMEを利用した攻撃、CSSを利用した攻撃、Jav aScriptを利用した攻撃などが挙げられます。それぞれの手法について詳しく見ていきましょう。

透明なIFRAMEを利用した攻撃

透明なIFRAMEを利用した攻撃は、最も一般的なクリックジャッキングの手法です。攻撃者は、以下のような手順で罠を仕掛けます。

罠用のWebページを作成する
罠ページ内に、攻撃対象の正規ページをIFRAMEで埋め込む
IFRAMEの上に、透明化したボタンなどの罠を配置する
罠の位置を、正規ページの意図したクリック箇所に合わせる
ユーザーを罠ページに誘導し、IFRAMEの中の正規ページを操作させる

この手法では、IFRAMEによって正規ページが埋め込まれているため、ユーザーは罠に気づきにくくなります。また、IFRAMEの透明度を調整することで、罠の存在を完全に隠すことも可能です。

ユーザーが正規ページをクリックしたつもりでも、実際には罠がクリックされてしまうのです。

CSSを利用した攻撃

CSSを利用した攻撃では、CSSのプロパティを悪用して罠を仕込みます。具体的には、以下のようなテクニックが使われます。

z-indexプロパティを使って、罠の要素を正規ページの上に重ねる
opacityプロパティを使って、罠の要素を透明化する
positionプロパティを使って、罠の要素を画面外に配置する
cursorプロパティを使って、マウスカーソルの見た目を変更する

これらのCSSプロパティを駆使することで、ユーザーから罠を見えなくしたり、クリック箇所を誤認させたりすることが可能となります。CSSは手軽に利用できる一方で、悪用されるリスクもはらんでいるのです。

JavaScriptを利用した攻撃

JavaScriptを利用した攻撃は、よりダイナミックで巧妙な手口を実現します。以下のようなスクリプトが悪用されます。

スクリプト	説明
onclickイベント	要素がクリックされた時の動作を定義。罠のクリック処理を仕込む。
setTimeoutメソッド	指定時間後に処理を実行。罠の出現タイミングを調整する。
document.createElementメソッド	新たなHTML要素を生成。動的に罠を生み出す。

JavaScriptを活用することで、ユーザーの操作に応じて罠を出し分けたり、タイミングを見計らって罠を仕掛けたりといった、高度な攻撃が可能になります。
サイトに埋め込まれた悪意あるスクリプトは常に警戒が必要です。

以上のように、クリックジャッキングには実に様々な攻撃手法が存在します。透明化、重ね合わせ、動的生成など、Webの技術が巧みに悪用されているのです。サイト運営者は、これらの手法を理解した上で多角的な防御策を講じる必要があります。

クリックジャッキングによる被害

クリックジャッキングは、ユーザーを欺いて意図しないクリックやタップを誘導する悪質な攻撃手法です。この攻撃により、以下のような深刻な被害が引き起こされる可能性があります。

個人情報の不正取得

クリックジャッキングを利用して、ユーザーの個人情報を不正に取得するケースがあります。例えば、攻撃者が罠ページ上に個人情報入力フォームを設置し、ユーザーに知らずに入力させるといった手口です。

氏名、住所、クレジットカード番号など、機密性の高い情報が攻撃者の手に渡ってしまう危険性があるのです。

個人情報の漏洩は、なりすましや不正利用など二次被害につながる恐れがあります。ユーザーは自身の情報管理に細心の注意を払う必要があります。

不正な金銭取引

クリックジャッキングは、ユーザーの金銭を狙った攻撃にも悪用されます。オンラインバンクやショッピングサイトの送金ボタンやお支払いボタンの上に、罠ページを重ねて配置する手口などがあります。

ユーザーが正規の操作をしたつもりでも、実際には攻撃者の指定した口座に送金したり、意図しない商品を購入させられたりしてしまうのです。
金額の大小に関わらず、不正な取引は看過できない問題です。

意図しない広告のクリック

クリックジャッキングは、オンライン広告の不正クリックにも利用される可能性があります。アフィリエイト広告などでは、クリック数に応じて広告主から報酬が支払われる仕組みがあります。

こうした広告の上に罠ページを重ねることで、ユーザーに意図しないクリックをさせ、不当に報酬を得ようとする攻撃者がいるのです。無効なクリックによって、広告主は不利益を被ることになります。

被害	概要
個人情報の不正取得	罠ページ上の入力フォームを利用し、ユーザーの機密情報を盗み取る。
不正な金銭取引	オンラインバンクやECサイトの送金・決済ボタンを騙して、意図しない取引を実行させる。
意図しない広告のクリック	オンライン広告の上に罠を仕掛け、ユーザーに無効なクリックをさせ不当に報酬を得る。

このように、クリックジャッキングがもたらす被害は多岐にわたります。個人情報の漏洩、不正送金、広告詐欺など、その手口は年々巧妙化しており、ユーザーは常に注意を怠らないことが大切です。

被害を防ぐためには、怪しいサイトを安易に信用せず、リンク先を確認する習慣をつけましょう。また、サイト運営者は、適切なセキュリティ対策を施し、ユーザーが安心して利用できる環境を整備していく必要があります。クリックジャッキングの脅威に対し、ユーザーとサイト運営者が協力して立ち向かっていくことが求められています。

クリックジャッキング対策

クリックジャッキングは、Webサイトの脆弱性を突いてユーザーを欺く悪質な攻撃ですが、適切な対策を講じることで防ぐことができます。ここでは、クリックジャッキング対策の代表的な手法について解説します。

X-Frame-Optionsヘッダの利用

X-Frame-Optionsは、Webサーバーがブラウザにレスポンスヘッダとして送信する指示で、ページを他のサイトのフレーム内に表示させるかどうかを制御します。このヘッダを設定することで、クリックジャッキング攻撃で利用されるフレームの埋め込みを防げます。

X-Frame-Optionsには以下の値を指定できます。

DENY: ページをフレーム内に表示することを全面的に禁止する。
SAMEORIGIN: 同一オリジン（同一ドメイン）からのフレーム内表示のみを許可する。
ALLOW-FROM uri: 指定したオリジンからのフレーム内表示のみを許可する。

自サイトをフレームに埋め込む必要がない場合は、DENY又はSAMEORIGINを設定しておくのが安全です。
Webサーバーの設定ファイルや、サーバーサイドプログラムのレスポンスヘッダ出力箇所で指定しましょう。

フレームバスティングの実装

フレームバスティング（Frame Busting）は、JavaScriptを利用してページがフレーム内に表示されているかを検知し、フレームを解除する手法です。以下のようなスクリプトを、ページのHEADセクションなどに記述します。

<script>
  if (top != self) {
    top.location.href = self.location.href;
  }
</script>

このスクリプトは、ページがトップウィンドウ（top）と異なるウィンドウ（self）に表示されている場合、トップウィンドウの場所をページ自身に置き換えます。

これにより、フレームから強制的に抜け出し、ページ単体で表示させることができるのです。

ただし、フレームバスティングは一部のブラウザで無効化される可能性や、スクリプトの実行を免れる抜け道があるため、X-Frame-Optionsヘッダとの併用がお勧めです。多層防御の観点から、両者を組み合わせるのが賢明でしょう。

ユーザー教育の重要性

クリックジャッキング対策において、ユーザー教育も欠かせません。いくらサイト側でセキュリティ対策を施しても、ユーザーが不用意にリンクをクリックしてしまっては意味がありません。

サイト運営者は、ユーザーに対して以下のようなセキュリティ教育を行いましょう。

教育項目	説明
怪しいリンクを安易にクリックしない	見覚えのないサイトやメールのリンクは、クリックする前によく確認する。
意図しない画面遷移に注意する	操作した覚えのないページ遷移が発生した場合、すぐに閉じる。
最新のセキュリティソフトを利用する	ウイルス対策ソフトやフィッシング対策機能で、不正サイトへのアクセスを防ぐ。

ユーザー一人ひとりのセキュリティ意識が高まることで、クリックジャッキングを含む様々な攻撃のリスクを減らすことができます。
サイト運営者とユーザーが一丸となってセキュリティ向上に取り組むことが大切だと言えるでしょう。

以上のように、X-Frame-Optionsヘッダの設定、フレームバスティングの実装、ユーザー教育の徹底という多面的なアプローチを組み合わせることが、クリックジャッキング対策の鍵となります。Webサイトのセキュリティは、運営者側の技術的施策とユーザー側の意識向上の両輪で成り立っているのです。両者が協力し、安全安心なWebサイトを目指していきましょう。

まとめ

クリックジャッキングは、ユーザーの意図しないクリックを誘導し、個人情報の不正取得や不正送金などの被害を引き起こす悪質な攻撃手法です。
透明な罠ページを正規ページに重ねる手口が用いられ、ユーザーは気づかないうちに攻撃者の思うがままに操作させられてしまいます。
本攻撃への対策としては、X-Frame-Optionsヘッダでフレームの埋め込みを制限したり、フレームバスティングで強制的にフレームを解除したりする方法があります。
また、ユーザー自身もセキュリティ意識を高め、怪しいリンクを安易にクリックしないよう心がける必要があります。
クリックジャッキングの脅威から身を守るには、サイト運営者とユーザーが一丸となったセキュリティ向上が不可欠です。

クリックジャッキングとは？攻撃に該当するものは？事例・対策まで｜サイバーセキュリティ.com

クリックジャッキングとは？攻撃に該当するものは？事例・対策まで

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！