La parola "clickjacking" ha due radici: "clic" ("clic") e "dirottamento" ("cattura"). Pertanto, il clickjacking è l’acquisizione del clic del mouse di un utente e il suo utilizzo per scopi fraudolenti.
Di conseguenza, facendo clic sul pulsante, si arriva a una pagina completamente diversa. Ciò rappresenta un’enorme minaccia per la tua sicurezza online. Ecco perché comprendere le basi del clickjacking e come prevenirlo è un argomento estremamente importante per qualsiasi utente della rete. In questo articolo, ti parleremo di cos’è questo attacco e come puoi proteggerti da esso.
L’essenza del clickjacking
Il metodo di base per eseguire questo attacco è abbastanza semplice e si basa sul fatto che è possibile creare un elemento invisibile su una pagina web. Gli aggressori creano pulsanti invisibili sul sito che vengono installati sopra collegamenti e immagini reali.
Quando si fa clic su un normale collegamento in una pagina Web, in realtà si fa clic su un pulsante invisibile che conduce a un sito dannoso. Questo è un metodo piuttosto segreto e complesso per ingannare gli utenti. Probabilmente sei molto interessato a cosa possono fare esattamente gli hacker con questo attacco? Rubare i tuoi dati personali? Sfortunatamente, le risposte a queste domande ti deluderanno. Preparati e passa alla sezione successiva del nostro articolo.
Di cosa sono capaci i clickjacker?
A prima vista, il clickjacking potrebbe non sembrare troppo pericoloso, ma i tuoi clic hanno molto potere. I sistemi operativi sono stati progettati per essere considerati affidabili dall’utente. Se un utente con i diritti appropriati chiede al computer di fare qualcosa per lui, la macchina non ha altra scelta che obbedirgli. I clickjacker inducono una persona a chiedere al proprio computer di fare qualcosa che non voleva. La macchina non ha modo di rifiutare un tale ordine.
Supponendo che i clickjacker riescano a reindirizzare il tuo clic altrove, quanto sono gravi le conseguenze? Come probabilmente avrai già intuito, uno dei tipi più comuni di clickjacking consiste nell’indurre l’utente a scaricare ed eseguire un programma (invece di un normale programma, una persona scarica malware). Dato che l’utente consente il download e l’installazione del malware, si installa in modo sicuro con il livello di accesso al sistema che gli hai fornito.
I clickjacker possono anche reindirizzarti a un sito Web fraudolento sotto il loro controllo. Ad esempio, arrivi a una risorsa di phishing o a una pagina piena di pubblicità e malware. Il clickjacking viene spesso utilizzato per acquisire le credenziali di accesso per vari siti web. Mentre pensi di compilare i campi direttamente sul sito ufficiale, le tue informazioni vengono già intercettate dai truffatori.
I clic intercettati possono essere utilizzati per manipolare il tuo computer. Ad esempio, gli aggressori possono utilizzare il tuo browser Web per ottenere l’accesso alle tue apparecchiature, come webcam e microfono. Quando un sito richiede l’accesso a questi dispositivi, è necessario concedere l’autorizzazione. Clickjacker reindirizzerà i tuoi clic per ottenere la giusta autorizzazione e può registrare segretamente video e audio della tua vita privata.
Infine, il danno più grande che può causare il clickjacking è finanziario. Clickjacker utilizza questo attacco per indurti a consentire trasferimenti di denaro dal tuo conto bancario direttamente alla sua carta.
Varietà di clickjacking
Gli hacker hanno preso come base il concetto di base del clickjacking e hanno creato diversi sottotipi (forme) di questo attacco.
- Likejacking (likejacking). Associato alla cattura di clic sui social network (Facebook o VK) in quanto si tratta di piattaforme con un’ampia base di utenti. È qui che vengono intercettati i tuoi clic e finisci per apprezzare o consigliare pagine che non conosci nemmeno. Questi falsi Mi piace e follow vengono utilizzati dagli hacker per manipolare gli algoritmi di promozione dei contenuti o aiutarli a realizzare profitti finanziari in qualche modo.
- Cursorjacking (cursorjacking). Implica lo spostamento fraudolento del cursore dell’utente in una posizione diversa. Questo può essere usato per rubare i dettagli personali che inserisci sulla linea. Questo sottotipo di attacco è molto raro oggigiorno, poiché gli exploit utilizzati per eseguirlo sono stati quasi completamente riparati.
- Filejacking (filejacking). I tuoi clic vengono intercettati per stabilire una connessione al file server. Ciò consente all’attaccante di accedere ai file personali sul tuo computer. Se hai dati sensibili sul tuo PC, i truffatori saranno in grado di visualizzarli e scaricarli, quindi utilizzare queste informazioni per ricattarti.
Come viene eseguito un attacco di clickjacking
Sebbene il clickjacking assuma molte forme, esiste uno schema generale su come viene eseguito il clickjacking che sembra costituire la base di questa pratica di hacking.
Ci sono due modi principali:
- In una forma di clickjacking, un sito Web reale viene intercettato da un elemento Iframe HTML invisibile che contiene pulsanti invisibili all’utente. Quando svolgi la tua attività sul sito ufficiale, i tuoi clic vengono intercettati e utilizzati per eseguire una delle azioni di cui sopra, come la registrazione di un video sulla tua webcam.
- Un altro tipo di clickjacking è noto come attacco UI redress. La vittima viene reindirizzata a un sito Web creato appositamente per le truffe sui trasferimenti di denaro. Potresti ricevere un’e-mail con un link che porta a un sito che ti offre una sorta di ricompensa. Quando lo apri, vedrai un pulsante che devi premere per ricevere l’ambita ricompensa.
Come prevenire il clickjacking
Il clickjacking è rivolto a due lati diversi contemporaneamente. Il primo è il proprietario di un sito Web legittimo che verrà compromesso da un frame invisibile fraudolento. I proprietari delle risorse possono progettare il loro sito in modo tale che non sia racchiuso in un tag HTML Iframe e rimanga protetto.
Se non sei il proprietario del sito, ma solo un normale utente, ci sono diversi modi per evitare di diventare vittima di truffatori.
Innanzitutto, assicurati che il tuo browser web sia aggiornato all’ultima versione. Molti exploit di clickjacking vengono risolti rapidamente dagli sviluppatori. Un altro modo efficace per prevenire questo attacco è utilizzare estensioni del browser speciali. Ad esempio, No ClickJack per Google Chrome ti mostrerà livelli web nascosti che non puoi vedere se ne trovi qualcuno. Pertanto, puoi proteggere te stesso e i tuoi dati personali.