クリックジャッキング

攻撃者は透明化した別のページを、利用者が開くページの上に重ねて読み込ませる。これにより利用者はそこに見えるボタンをクリックしていると思っても、実際にはその上にある別のボタンをクリックしているという状況になる。

このとき、「真正な」ページ（たとえばソーシャル・ネットワーキング・サービスの公式サイト）を重ねることもできる。つまり利用者は知らぬ間に他のサイト上で何らかの行動を取らされるおそれがある。この場合利用者は自分でボタンを押して正しい手続きを踏んでいることになるので、あとから攻撃の痕跡をたどる術はない。

クリックジャッキングはConfused deputy problem（コンピュータのもつ権限を悪用させられる問題）の一種と捉えることができる^[7]。

• Flashを利用し、Webカメラやマイクを作動させる
• ソーシャル・ネットワーキング・サービスのプロフィールの公開設定を変更させる
• Twitterで誰かをフォローさせる^[8]
• Facebookでリンクをシェアさせる^[9][10]

2009年3月、はまちや2がはてなブックマーク利用者を対象に、一見無関係なボタンを押すことにより意図せずソーシャルブックマークをさせられてしまうというデモンストレーションを公開した^[11]。

Mozilla Firefoxでは、NoScriptというアドオンが提供するClearClick機能が利用できる。他のブラウザでも、攻撃に使用されるFlashなどのプラグイン、iframe、JavaScriptを手動で無効にすることはできるが、クリックジャッキングはCSSのみでも実現可能なため、完全に防ぐことはできない^[12][13]。

• クリックジャッキングにより利用者に不本意なクリックをさせることを避けたいウェブサイト管理者は、HTTPレスポンスヘッダーにX-FRAME-OPTIONSを含めることで、そのウェブページ内に、他のサイトのページのiframe要素やframe要素を呼び出さないようにウェブブラウザに指示することができる^[14]。2015年現在、主要なウェブブラウザのすべてがこの指示に従う。

• 重要な操作については、再度パスワードの入力を求め、パスワードが正しいときだけ処理を実行する^[14]。
• 重要な処理を実行する画面では、途中でキーボード躁作を要求するなどして、マウス操作のみでは完了しないようにする^[14]。