エンジニアのためのセキュリティ攻略：共有＆学習シリーズ - クリックジャッキング

スージーは、2日後に締め切りが迫った厄介なレポートから逃れるためにメールを開きました。すると、受信トレイに「iPad無料プレゼント」というリンクが表示されています。クリックすると、「ここをクリックして無料のiPadをゲット！」と書かれた大きなバナーがあるウェブサイトに移動しました。ボタンをクリックしても何も起こらないように見えましたが、実は裏で何かが起きていたのです。

受信トレイに戻ってみると、すべてのメールが削除されていることに気づきました。自分では削除ボタンを押していないのに、一体何が起きたのでしょうか？

そのメールサイトはクリックジャッキングの被害に遭っていたのです。クリックジャッキングとは、ユーザーを騙して意図しない操作をさせる手法であり、深刻な問題を引き起こす可能性があります。

クリックジャッキングの仕組み、その危険性、そして開発者がどのように対策すべきかを見ていきましょう。

クリックジャッキングを理解する

クリックジャッキング（UI赤外線攻撃とも呼ばれます）は、攻撃者がウェブページ上に透明なレイヤーを重ね、ユーザーが意図しないボタンやリンクをクリックさせる手法です。

車の中に虫が入り込んでしまったことはありませんか？虫は窓ガラスに向かって必死に飛び回り、外に出ようとします。虫は、ガラスの向こうに見える木々や空へ向かおうとしているだけで、目の前のガラスの存在には気づいていません。

クリックジャッキングもこれと同じ仕組みです。ユーザーが虫で、あなたのウェブサイトが道を塞ぐガラスです。ユーザーは「無料のiPhone」といった魅力的なものに目を奪われます。攻撃者は、その広告の上に透明なフレームであなたのサイトを重ねます。ユーザーが「無料の賞品」を手に入れようとボタンをクリックすると、実際にはあなたのサイト上のボタンが押され、意図しない操作が実行されてしまうのです。

クリックジャッキングが危険な理由

クリックジャッキングで攻撃者は何ができるのでしょうか？それは、標的となるウェブサイトの機能に大きく依存します。

攻撃者は、ユーザーにソーシャルメディアで攻撃者のサイトを「いいね」や「シェア」させることができます。多くの人が利便性のためにソーシャルメディアにログインしたままにしているため、これは簡単に実行できてしまいます。

あなたのサイトがフレーム内に配置できる場合、ボタンをクリックするだけで機密性の高い操作が完了してしまい、それが攻撃のベクトルとなります。例えば、ユーザーは無料のiPadをもらうつもりでクリックしたのに、実際にはサイトのアカウント設定が変更され、セキュリティが低下してしまうといったケースです。この種の攻撃は、Adobe Flashプラグインの設定ページに対して行われたことがあります。設定画面を透明なフレーム内に配置することで、ユーザーを騙してFlashアニメーションにマイクやカメラへのアクセスを許可させてしまうのです。これにより、攻撃者は被害者を録画することが可能となり、重大なプライバシー侵害につながります。

メールクライアントがサイト内にフレームとして埋め込まれると、ユーザーがメールボックス内の全メールを削除させられたり、攻撃者が管理するメールアドレスにメールを転送させられたりする恐れがあります。

要するに、ユーザーは何をクリックしているのか見えないため、どんな操作でもさせられてしまう可能性があるということです。ソーシャルメディアでのシェアからマルウェアのダウンロードまで、その可能性は無限大です。

クリックジャッキングを防ぐ方法

Clickjacking can be prevented. The recommended way to prevent clickjacking is to define a content security policy, or CSP, for your site. Using the "frame ancestors" HTTP response header, you can control how your site can be framed.

• "frame-ancestors none" - 他のサイトによるフレーム化を一切許可しません。これが推奨される設定です。
• "frame-ancestors self" - 自サイト内のページからのみフレーム化を許可します。
• "frame-ancestors self <uri list=""> - 指定したURIリストのサイトからのみフレーム化を許可します。</uri>

CSPのframe-ancestorsは、現在すべての主要ブラウザでサポートされているわけではありません。そのようなブラウザへのフォールバックとして、HTTPヘッダー「X-Frame-Options」を使用してください。

• DENY - どのサイトも自サイトをフレーム内に表示できません。これが推奨設定です。
• SAMEORIGIN - CSPの「self」と同様です。自サイトのコンテンツはフレーム表示できますが、他サイトはできません。
• ALLOW-FROM <uri> - 指定したURIのみが自サイトのコンテンツをフレーム表示することを許可します。</uri>

クリックジャッキングを防ぐ

クリックジャッキングは巧妙かつ悪質な攻撃であり、製品が悪用されれば、ブランドイメージの低下や収益の損失を招く恐れがあります。無料の学習リソースで、クリックジャッキングについて詳しく学びましょう。

Content Security Policyと「X-Frame-Options」ヘッダーを使用して、悪意のあるサイト利用を防ぎましょう。攻撃者にユーザーを操作させてはいけません。クリックジャッキング対策を万全に。