Вы уверены, что кнопка на вашем сайте — это именно та кнопка, за которую её принимают? К сожалению, злоумышленники могут наложить на интерфейс сайта свои прозрачные элементы. Это и есть суть кликджекинга, способа тихого перехвата пользовательского ввода: посетители веб-ресурса могут невольно совершать действия, о которых вовсе не подозревали. Рассматриваем механику подобных атак и способы защиты от них.
Что значит кликджекинг
Кликджекинг (clickjacking) буквально означает захват кликов. Посетитель сайта думает, что нажимает на кнопку или ссылку, а его клик перенаправляется на невидимый или замаскированный элемент. Хакер, внедрив на сайт вредоносный код, накладывает на него свои скрытые слои и направляет действия пользователей в нужное ему русло. Например, нажатие на якобы обычную ссылку может привести к покупке товара, подписке на платную услугу или распространению спама.
Как выглядит атака на практике
Два наиболее распространённых способа реализации кликджекинга:
- Поддельные кнопки, замаскированные поверх реальных элементов страницы. Например, страница может содержать яркую кнопку «Получить подарок бесплатно!». Однако, когда пользователь нажимает на нее, он активирует совершенно другое действие, — например, отправляет свою личную информацию, соглашается на рассылку спама или установку вредоносного ПО.
- Невидимые фреймы, размещённые над страницей. Скрытый фрейм перехватывает щелчки мыши — пользователь думает, что он взаимодействует с обычным контентом, а на самом деле совершает действия внутри фрейма. Так злоумышленники могут заставить пользователей отправить свои личные данные или загрузить вредоносное ПО.
Чем опасен кликджекинг
Для пользователя: это прямая угроза конфиденциальности и безопасности. Жертва может невольно авторизоваться в чужом аккаунте соцсети, подтвердить платеж, подписаться на нежелательный контент или установить вирус.
Для вашего сайта и бизнеса: если пользователи поймут (или заподозрят), что взаимодействие с вашим ресурсом приводит к странным последствиям, они просто уйдут. Поисковики могут негативно оценить сайт, на котором происходят инциденты. В случае утечки персональных данных возможны иски и санкции.
Как защититься от кликджекинга
Для этого нужно запретить браузеру открывать ваш сайт внутри фрейма на сторонних непроверенных ресурсах.
Заголовки X-Frame-Options и CSP
Заголовок X-Frame-Options запрещает отображение вашей страницы во фрейме другого домена. Возможные значения:
- DENY: ваша страница вообще не должна показываться во фреймах;
- SAMEORIGIN: страницу можно показывать только в рамках своего домена;
- ALLOW-FROM url: разрешает встраивать вашу страницу во фреймы определенного URI.
Политика безопасности контента (CSP, Content Security Policy) даёт гораздо больше возможностей контроля. В ней вы можете определить, откуда разрешены скрипты, стили и иные внешние ресурсы — например, добавив директивы типа frame-ancestors, вы можете запретить включение своей страницы в чужие фреймы.
Проверка форм и UI
Помимо технических заголовков, стоит продумать и пользовательский интерфейс. Для критически важных действий — вроде перевода денег, смены пароля или удаления аккаунта — используйте дополнительные подтверждения: 2FA, CAPTCHA или повторный ввод пароля.
Полезно добавить визуальные подсказки: например, если страница открывается во фрейме, показывайте предупреждение. Некоторые сайты используют JavaScript-проверку: если обнаруживается, что страница загружена внутри iframe, она «выбрасывает» пользователя на родительский URL.
Не забывайте и о тестировании: регулярно проверяйте, можно ли встроить ваш сайт в iframe с чужого ресурса.
Заключение
Кликджекинг — это тихая и незаметная, но от этого не менее опасная угроза. Он атакует не сервер, а самого пользователя, пользуясь его доверием к вашему сайту. Однако арсенал защиты вполне доступен и эффективен: начните с настройки правильных HTTP-заголовков, добавьте на фронтенд логику обнаружения встраивания и усильте проверку для важных операций. Регулярный аудит мер защиты и следование лучшим практикам помогут вам обезопасить посетителей и сохранить безупречную репутацию вашего онлайн-проекта.
RuWeb — недорогой хостинг для сайтов! Автоматическая установка CMS. Без скрытых платежей. 💻