Hiiri ansassa. Mitä clickjacking on ja kuinka suojata napsautuksiasi

Sanalla "clickjacking" on kaksi juurta: "click" ("napsautus") ja "kaappaus" ("kaappaus"). Clickjacking tarkoittaa siis käyttäjän hiiren napsautuksen sieppaamista ja sen käyttöä vilpillisiin tarkoituksiin.

Tämän seurauksena napsauttamalla painiketta pääset täysin eri sivulle. Tämä on valtava uhka verkkoturvallisuudellesi. Siksi clickjackingin perusteiden ja sen estämisen ymmärtäminen on erittäin tärkeä aihe jokaiselle verkon käyttäjälle. Tässä artikkelissa kerromme sinulle, mikä tämä hyökkäys on ja kuinka voit suojautua siltä.

Clickjackingin ydin

Perusmenetelmä tämän hyökkäyksen suorittamiseen on melko yksinkertainen ja perustuu siihen, että voit luoda näkymätön elementin verkkosivulle. Hyökkääjät luovat sivustolle näkymättömiä painikkeita, jotka asennetaan oikeiden linkkien ja kuvien päälle.

Kun napsautat tavallista linkkiä verkkosivulla, napsautat itse asiassa näkymätöntä painiketta, joka johtaa haitalliselle sivustolle. Tämä on melko salainen ja monimutkainen tapa käyttäjien huijaamiseen. Olet todennäköisesti erittäin kiinnostunut siitä, mitä hakkerit voivat tehdä tällä hyökkäyksellä? Varastaa henkilötietosi? Valitettavasti vastaukset näihin kysymyksiin tuottavat sinulle pettymyksen. Valmistaudu ja siirry artikkelimme seuraavaan osaan.

Mihin clickjackerit pystyvät?

Ensi silmäyksellä napsautusten kaappaus ei ehkä vaikuta liian vaaralliselta, mutta napsautuksillasi on paljon voimaa. Käyttöjärjestelmät on suunniteltu siten, että käyttäjät voivat luottaa niihin. Jos käyttäjä, jolla on asianmukaiset oikeudet, pyytää tietokonetta tekemään jotain puolestaan, koneella ei ole muuta vaihtoehtoa kuin totella häntä. Clickkackerit huijaavat henkilöä pyytämään omaa tietokonettaan tekemään jotain, jota he eivät halunneet. Koneella ei ole mitään keinoa kieltäytyä sellaisesta tilauksesta.

Olettaen, että napsautuksen kaappaajat onnistuvat ohjaamaan napsautuksesi muualle, kuinka vakavia seurauksia on? Kuten luultavasti jo arvasit, yksi yleisimmistä clickjacking-tyypeistä sisältää käyttäjän huijaamisen lataamaan ja suorittamaan ohjelman (henkilö lataa haittaohjelmia tavallisen ohjelman sijaan). Ottaen huomioon, että käyttäjä sallii haittaohjelman lataamisen ja asennuksen, se asentuu turvallisesti sillä järjestelmän käyttöoikeustasolla, jonka olet antanut sille.

Clickkackerit voivat myös ohjata sinut hallinnassaan olevalle petolliselle verkkosivustolle . Pääset esimerkiksi tietojenkalasteluresurssille tai sivulle, joka on täynnä mainoksia ja haittaohjelmia. Clickjackingia käytetään usein kirjautumistietojesi tallentamiseen eri verkkosivustoille. Vaikka luulet täyttäväsi kentät suoraan virallisella verkkosivustolla, huijarit sieppaavat jo tietosi.

Kaapattuja napsautuksia voidaan käyttää tietokoneesi manipuloimiseen. Hyökkääjät voivat esimerkiksi käyttää verkkoselainta päästäkseen käsiksi laitteihisi, kuten verkkokameraasi ja mikrofonisi. Kun sivusto pyytää pääsyä näihin laitteisiin, sinun on myönnettävä lupa. Clickjacker ohjaa napsautuksiasi saadakseen oikean luvan ja voi salaa tallentaa videota ja ääntä yksityiselämästäsi.

Lopuksi suurin vahinko, jonka clickjacking voi aiheuttaa, on taloudellinen. Clickjacker käyttää tätä hyökkäystä huijatakseen sinut sallimaan rahansiirrot pankkitililtäsi suoraan kortilleen.

Clickjacking-lajikkeet

Hakkerit ottivat perustana klikkauskaappauksen peruskäsitteen ja loivat tälle hyökkäykselle useita alatyyppejä (muotoja).

• Likejacking (likejacking). Liittyy napsautusten keräämiseen sosiaalisissa verkostoissa (Facebook tai VK), koska nämä ovat alustoja, joilla on suuri käyttäjäkunta. Tässä napsauksesi siepataan ja päädyt pitämään tai suosittelemaan sivuja, joista et edes tiedä. Hakkerit käyttävät näitä väärennettyjä tykkäyksiä ja seuraajia manipuloidakseen sisällön edistämisalgoritmeja tai auttaakseen heitä saamaan jollain tavalla taloudellista voittoa.
• Cursorjacking (cursorjacking). Sisältää käyttäjän kursorin siirtämisen eri paikkaan vilpillisesti. Tätä voidaan käyttää linjalle syöttämiesi henkilötietojen varastamiseen. Tämä hyökkäysten alatyyppi on nykyään hyvin harvinainen, koska sen suorittamiseen käytetyt hyväksikäytöt on korjattu lähes kokonaan.
• Tiedoston kaappaus (filejacking). Napsautuksesi siepataan yhteyden muodostamiseksi tiedostopalvelimeen. Tämä antaa hyökkääjälle pääsyn tietokoneesi henkilökohtaisiin tiedostoihin. Jos sinulla on arkaluontoisia tietoja tietokoneellasi, huijarit voivat tarkastella ja ladata niitä ja sitten käyttää näitä tietoja kiristääkseen sinua.

Kuinka clickjacking-hyökkäys suoritetaan

Vaikka klikkauskaappauksella on monia muotoja, klikkauskaappaukselle on olemassa yleinen kaava, joka näyttää muodostavan perustan tälle hakkerointikäytännölle.

On kaksi päätapaa:

1. Eräässä napsautuskaappausmuodossa todellinen verkkosivusto siepataan näkymättömällä HTML Iframe -elementillä, joka sisältää käyttäjälle näkymättömiä painikkeita. Kun teet liiketoimintaasi virallisella sivustolla, napsauksesi siepataan ja niitä käytetään jonkin yllä mainitun toiminnon suorittamiseen, kuten videon tallentamiseen verkkokameraasi.
2. Toinen napsautussyötön tyyppi tunnetaan nimellä käyttöliittymän hyvityshyökkäys. Uhri ohjataan verkkosivustolle, joka on luotu erityisesti rahansiirtohuijauksia varten. Saatat saada sähköpostin, jossa on linkki sivustolle, joka tarjoaa sinulle jonkinlaisen palkinnon. Kun avaat sen, näet painikkeen, jota sinun on painettava saadaksesi halutun palkinnon.

Kuinka estää napsautus

Clickjacking on suunnattu kahdelle eri puolelle samanaikaisesti. Ensimmäinen on sellaisen laillisen verkkosivuston omistaja, joka vaarantuu vilpillisen näkymätön kehyksen avulla. Resurssien omistajat voivat suunnitella sivustonsa siten, että se ei ole kääritty Iframe HTML -tunnisteeseen ja pysyy suojattuna.

Jos et ole sivuston omistaja, vaan vain tavallinen käyttäjä, on useita tapoja välttää joutumasta huijareiden uhriksi.

Varmista ensin, että selaimesi on päivitetty uusimpaan versioon. Kehittäjät korjaavat nopeasti monet clickjacking-hyödynnät. Toinen tehokas tapa estää tämä hyökkäys on käyttää erityisiä selainlaajennuksia. Esimerkiksi Google Chromen No ClickJack näyttää piilotetut verkkotasot, joita et näe, löytyykö niitä. Näin voit suojata itsesi ja henkilötietosi.