Ratón en una trampa. Qué es el clickjacking y cómo proteger tus clics

La palabra "secuestro de clics" tiene dos raíces: "clic" ("clic") y "secuestro" ("capturar"). Por lo tanto, el clickjacking es la captura del clic del mouse de un usuario y su uso con fines fraudulentos.

Como resultado, al hacer clic en el botón, accede a una página completamente diferente. Esto representa una gran amenaza para su seguridad en línea. Es por eso que comprender los conceptos básicos del secuestro de clics y cómo prevenirlo es un tema extremadamente importante para cualquier usuario de la red. En este artículo te contamos qué es este ataque y cómo puedes protegerte de él.

La esencia del clickjacking

El método básico para realizar este ataque es bastante simple y se basa en el hecho de que puede crear un elemento invisible en una página web. Los atacantes crean botones invisibles en el sitio que se instalan encima de enlaces e imágenes reales.

Cuando hace clic en un enlace normal en una página web, en realidad está haciendo clic en un botón invisible que conduce a un sitio malicioso. Este es un método bastante secreto y complejo para engañar a los usuarios. Probablemente esté muy interesado en saber qué pueden hacer exactamente los piratas informáticos con este ataque. ¿Robar sus datos personales? Desafortunadamente, las respuestas a estas preguntas lo decepcionarán. Prepárese y pase a la siguiente sección de nuestro artículo.

¿De qué son capaces los clickjackers?

A primera vista, el clickjacking puede no parecer demasiado peligroso, pero tus clics tienen mucho poder. Los sistemas operativos fueron diseñados para que el usuario confiara en ellos. Si un usuario con los derechos apropiados le pide a la computadora que haga algo por él, la máquina no tiene más remedio que obedecerlo. Los clickjackers engañan a una persona para que le pida a su propia computadora que haga algo que no quería. La máquina no tiene forma de rechazar tal orden.

Suponiendo que los secuestradores de clics logran redirigir su clic a otro lugar, ¿qué tan graves son las consecuencias? Como probablemente ya haya adivinado, uno de los tipos comunes de clickjacking implica engañar al usuario para que descargue y ejecute un programa (en lugar de un programa normal, una persona descarga malware). Dado que el usuario permite la descarga e instalación del malware, este se instala de forma segura con el nivel de acceso al sistema que le hayas dado.

Los secuestradores de clics también pueden redirigirte a un sitio web fraudulento bajo su control. Por ejemplo, llega a un recurso de phishing o a una página llena de anuncios y malware. El secuestro de clics se usa a menudo para capturar sus credenciales de inicio de sesión para varios sitios web. Mientras cree que está completando los campos directamente en el sitio web oficial, los estafadores ya están interceptando su información.

Los clics interceptados se pueden usar para manipular su computadora. Por ejemplo, los atacantes pueden usar su navegador web para obtener acceso a su equipo, como su cámara web y micrófono. Cuando un sitio solicita acceso a estos dispositivos, debe otorgar permiso. Clickjacker redirigirá sus clics para obtener el permiso correcto y puede grabar en secreto videos y audios de su vida privada.

Finalmente, el mayor daño que puede causar el clickjacking es económico. Clickjacker usa este ataque para engañarlo para que permita transferencias de dinero desde su cuenta bancaria directamente a su tarjeta.

Variedades de clickjacking

Los piratas informáticos tomaron como base el concepto básico de clickjacking y crearon varios subtipos (formas) de este ataque.

• Me gusta robar (como robar). Asociado a la captación de clics en redes sociales (Facebook o VK) por ser plataformas con una gran base de usuarios. Aquí es donde se interceptan tus clics y terminas recomendando páginas que ni siquiera conoces. Los piratas informáticos utilizan estos "me gusta" y "seguimientos" falsos para manipular los algoritmos de promoción de contenido o ayudarlos a obtener ganancias financieras de alguna manera.
• Cursorjacking (secuestro de cursor). Consiste en mover el cursor del usuario a una ubicación diferente de forma fraudulenta. Esto se puede usar para robar los datos personales que ingresa en la línea. Este subtipo de ataque es muy raro en estos días, ya que los exploits utilizados para llevarlo a cabo han sido parcheados casi por completo.
• Filejacking (secuestro de archivos). Sus clics son interceptados para establecer una conexión con el servidor de archivos. Esto le da al atacante acceso a archivos personales en su computadora. Si tiene datos confidenciales en su PC, los estafadores podrán verlos y descargarlos, y luego usar esta información para chantajearlo.

Cómo se realiza un ataque de clickjacking

Si bien el secuestro de clics toma muchas formas, existe un patrón general de cómo se lleva a cabo el secuestro de clics que parece formar la base de esta práctica de piratería.

Hay dos formas principales:

1. En una forma de secuestro de clics, un sitio web real es interceptado por un elemento Iframe HTML invisible que contiene botones que son invisibles para el usuario. Cuando realiza sus negocios en el sitio oficial, sus clics se interceptan y se utilizan para realizar una de las acciones anteriores, como grabar un video en su cámara web.
2. Otro tipo de secuestro de clics se conoce como ataque de reparación de interfaz de usuario. La víctima es redirigida a un sitio web creado específicamente para estafas de transferencia de dinero. Es posible que reciba un correo electrónico con un enlace que lo lleve a un sitio que le ofrece algún tipo de recompensa. Al abrirlo, verás un botón que deberás presionar para recibir la codiciada recompensa.

Cómo prevenir el secuestro de clics

Clickjacking está dirigido a dos lados diferentes al mismo tiempo. El primero es el propietario de un sitio web legítimo que se verá comprometido por un marco invisible fraudulento. Los propietarios de recursos pueden diseñar su sitio de tal manera que no esté envuelto en una etiqueta HTML de marco flotante y permanezca seguro.

Si no es el propietario del sitio, sino un usuario habitual, hay varias formas de evitar ser víctima de estafadores.

Primero, asegúrese de que su navegador web esté actualizado a la última versión. Los desarrolladores solucionan rápidamente muchos exploits de clickjacking. Otra forma efectiva de prevenir este ataque es usar extensiones de navegador especiales. Por ejemplo, No ClickJack para Google Chrome le mostrará capas web ocultas que no podrá ver si se encuentra alguna. Por lo tanto, puede protegerse a sí mismo y a sus datos personales.