Clickjacking: o que é e como evitá-lo?

Clickjacking é um tema bem interessante e que merece ter sua atenção voltada a ele.

Essa é uma das técnicas que os invasores utilizam para redirecionar visitantes de sites para roubar informações confidenciais. Também conhecido como “roubo de clique”, o clickjacking é um dos mais comuns ciberataques atualmente.

Inclusive, quando os desenvolvedores elaboram a segurança de um site, geralmente não consideram que os invasores possam clicar nele de outro site. Pois neste contexto tão tecnológico, a criatividade de invasores parece não ter fim.

Com isso, como você sabe, novos tipos de ameaças surgem e, se o usuário não ficar atento às dicas de segurança, pode acabar se tornando um alvo fácil.

Portanto, esse é um ótimo momento para você conhecer mais sobre clickjacking e reforçar a proteção da sua página!

O que é Clickjacking?

Antes de definir como proteger a sua empresa, é fundamental entender o que é clickjacking.

Se trata de uma atividade maliciosa, onde links estão escondidos por trás de botões clicáveis genuínos ou mesmo de links, redirecionando usuários e fazendo com que eles ativem uma ação errada com o click.

O clickjacking é tão rápido e fácil que deixa o ato de roubar informações confidenciais e privadas quase que instantâneo. Pois este ataque permite que o cibercriminoso insira uma camada invisível na interface do usuário, entre seus comandos e o que você vê na tela do dispositivo.

Agora que você já sabe o que é clickjacking, vamos nos aprofundar no tema e entender como ele age.

Como funciona o Clickjacking?

Em um primeiro momento você pode pensar que está visualizando a tela do banco depois de inserir seu ID e sua senha, mas o que realmente aparece é uma réplica da mesma tela colocada sobre as informações reais do banco.

Nesse momento, o clickjacking já está em ação. Quando você insere suas informações privadas, os dados não vão para o sistema de verificação do banco, mas para os servidores de arquivos que os criminosos virtuais mantêm para roubar as informações de acesso à conta.

Inclusive, recentemente o clickjacking tem marcado presença em serviços populares e com grande volume de acesso, como o Adobe Flash Player e o Twitter.

Alguns invasores alteraram as configurações do plug-in do Adobe Flash. Ao carregar essa página em um iframe invisível, um invasor pode enganar o usuário para alterar as configurações de segurança do Flash, permitindo que qualquer animação Flash utilize o microfone e a câmera do computador.

Além das citadas, outra forma de ataque com clickjacking é através do Facebook, onde links com frases curtas e chamativas tentam atrair a atenção do usuário, que ao clicar, é direcionado à páginas que podem baixar arquivos maliciosos para o seu dispositivo.

Tipos de ataques de Clickjacking

Como citamos no tópico anterior, o clickjacking tem tomado formas bem comuns e está espalhado por toda a internet. Essa sobreposição de conteúdo malicioso é difícil de localizar.

E para você ficar atento, veja só como esses cibercriminosos podem conseguir o clickjacking de várias maneiras:

iFrames invisíveis

Nessa situação, o invasor carrega um iframe 1×1 invisível que impede o usuário de ver o conteúdo. O elemento de destino do iframe invisível, como um botão no site, é centralizado sob o cursor da vítima, facilitando o induzir o usuário a clicar no conteúdo malicioso.

Substituição rápida de conteúdo

Nessa “modalidade” de clickjacking o ataque é feito da seguinte forma: são criadas sobreposições desfocadas para cobrir os elementos-alvo na página da web. A ação é executada quase imediatamente (milissegundos), pouco antes de a vítima visitar a página da web.

Essa técnica exige que o invasor seja capaz de prever o momento do clique com alguma precisão. A sobreposição é visível apenas o tempo suficiente para interceptar o clique antes de ocultá-lo.

Eventos de ponteiro e sobreposições transparentes

Aqui o cibercriminoso age com um pouco mais de perícia. De modo sorrateiro ele cria uma tag div flutuante que cobre completamente o elemento de interface do usuário de destino. O invasor define a propriedade CSS ponter-events como 'none', o que faz com que os cliques passem por eles, registrando-os no iframe por trás dele.

Aproveitando-se de uma vulnerabilidade no site, o clickjacking também pode ser aplicado ao colocar uma janela transparente em cima de um elemento que o usuário clicará.

A vítima não vê a janela transparente e pensa que está clicando no botão ou elemento de link legítimo. Mas como a janela transparente do invasor é o conteúdo principal da página, o hacker sequestra o clique..

Cursores fantasmas

Como você notou, utilizando tags div flutuantes, os malfeitores podem gerar um cursor de mouse adicional e configurá-lo a uma distância fixa do cursor de mouse real da vítima.

O hacker modificará a página para que o cursor enganoso fique mais proeminente. Ele também coloca um elemento que a vítima tem que clicar na página.

A vítima vê um cursor falso que imita seus próprios movimentos do mouse e que o leva a clicar no elemento malicioso antes de perceber o que aconteceu.

Dicas para evitar o Clickjacking

Mesmo com sua força evidenciada durante todo esse artigo, existem maneiras de reduzirmos os danos do clickjacking - até mesmo evitá-los.

Por exemplo, uma das maneiras mais recorrentes do software malicioso de clickjacking acessar os dispositivos é por meio de e-mails direcionados. Ainda mais, em um mundo onde cibercriminosos já roubaram bilhões de contas de clientes com dados de contato, a compra dessas informações custa muito pouco para os criminosos virtuais.

É grande a probabilidade de criminosos virtuais terem pelo menos sua conta de e-mail no arquivo deles, junto com a instituição bancária associada a ela.

Portanto, mantenha um cuidado recorrente com e-mails que chegam a sua caixa de entrada que alegam tratar de um assunto urgente que requer sua atenção.

Realize uma filtragem nos e-mails recebidos e atente-se aos que exigem que você clique em um link, pois esse pode levar você a um site que parece idêntico ao do banco ou a outro site oficial para persuadir você a baixar a última versão do aplicativo da instituição ou preencher informações de perfil.

Diferente de outros tipos de vulnerabilidades, o clickjacking não resulta de uma implementação errada no código-fonte da linguagem de programação. Normalmente, é o mau uso de algumas características dos recursos do HTML e CSS, combinados com a interação do usuário com elementos transparentes, que resultam neste tipo de ataque.

Dessa forma, o navegador é o principal recurso usado para o ataque.

Portanto, segue a dica para o usuário: mantenha o browser atualizado e evite clicar em anúncios e websites de procedência desconhecida. Já para os desenvolvedores, as técnicas mais adotadas são a utilização de quebra de frames e o uso de cabeçalho HTTP X-frame-options.

Siga as dicas e lembre-se: todo cuidado é pouco com os ataques maliciosos na web

Ficou claro para você o que é o clickjacking? E os seus perigos, conseguiu entender? Por isso é fundamental estar em dia em relação à segurança digital e principalmente, à cibersegurança da sua empresa!

Como vimos ao longo desse artigo, o clickjacking é fácil para os invasores realizarem.

As medidas técnicas contra o clickjacking estão sempre relacionadas a alterações em nosso site. Portanto, ter uma política de segurança de conteúdo para mitigar riscos e proteger contra clickjacking é essencial. A única coisa que um visitante pode fazer é ficar alerta.

Nisso, a BugHunt pode te ajudar. Não arrisque com o prejuízo, antecipe-se, conheça nossa plataforma!