Rato em uma armadilha. O que é clickjacking e como proteger seus cliques
A palavra "clickjacking" tem duas raízes: "click" ("clique") e "hijack" ("captura"). Assim, clickjacking é a captura do clique do mouse de um usuário e seu uso para fins fraudulentos.
Como resultado, ao clicar no botão, você acessa uma página completamente diferente. Isso representa uma grande ameaça à sua segurança online. É por isso que entender os fundamentos do clickjacking e como evitá-lo é um tópico extremamente importante para qualquer usuário da rede. Neste artigo, falaremos sobre o que é esse ataque e como você pode se proteger dele.
A essência do clickjacking
O método básico para realizar esse ataque é bastante simples e se baseia no fato de que você pode criar um elemento invisível em uma página da web. Os invasores criam botões invisíveis no site que são instalados sobre links e imagens reais.
Quando você clica em um link comum em uma página da Web, na verdade está clicando em um botão invisível que leva a um site malicioso. Este é um método bastante secreto e complexo de enganar os usuários. Você provavelmente está muito interessado no que exatamente os hackers podem fazer com esse ataque? Roubar seus dados pessoais? Infelizmente, as respostas a essas perguntas irão desapontá-lo. Prepare-se e passe para a próxima seção do nosso artigo.
Do que os clickjackers são capazes?
À primeira vista, o clickjacking pode não parecer muito perigoso, mas seus cliques têm muito poder. Os sistemas operacionais foram projetados para serem confiáveis pelo usuário. Se um usuário com os direitos apropriados pede ao computador para fazer algo por ele, a máquina não tem escolha a não ser obedecê-lo. Os clickjackers enganam uma pessoa para que peça ao seu próprio computador para fazer algo que ela não deseja. A máquina não tem como recusar tal pedido.
Supondo que os clickjackers consigam redirecionar seu clique para outro lugar, quão severas são as consequências? Como você provavelmente já adivinhou, um dos tipos comuns de clickjacking envolve induzir o usuário a baixar e executar um programa (em vez de um programa normal, uma pessoa baixa um malware). Dado que o usuário permite o download e a instalação do malware, ele é instalado com segurança com o nível de acesso ao sistema que você forneceu.
Os clickjackers também podem redirecioná-lo para um site fraudulento sob seu controle. Por exemplo, você acessa um recurso de phishing ou uma página cheia de anúncios e malware. Clickjacking é freqüentemente usado para capturar suas credenciais de login para vários sites. Enquanto você pensa que está preenchendo os campos diretamente no site oficial, suas informações já estão sendo interceptadas por golpistas.
Cliques interceptados podem ser usados para manipular seu computador. Por exemplo, os invasores podem usar seu navegador da Web para obter acesso ao seu equipamento, como sua webcam e microfone. Quando um site solicita acesso a esses dispositivos, você precisa conceder permissão. O Clickjacker redirecionará seus cliques para obter a permissão correta e poderá gravar secretamente vídeo e áudio de sua vida privada.
Finalmente, o maior dano que o clickjacking pode causar é financeiro. O Clickjacker usa esse ataque para induzi-lo a permitir transferências de dinheiro de sua conta bancária diretamente para o cartão dele.
Variedades de clickjacking
Os hackers tomaram como base o conceito básico de clickjacking e criaram vários subtipos (formas) desse ataque.
- Likejacking (likejacking). Associado à captação de cliques nas redes sociais (Facebook ou VK) por serem plataformas com uma grande base de utilizadores. É aqui que seus cliques são interceptados e você acaba curtindo ou recomendando páginas que nem conhece. Essas curtidas e seguidores falsos são usados por hackers para manipular algoritmos de promoção de conteúdo ou ajudá-los a obter lucro financeiro de alguma forma.
- Cursorjacking (cursorjacking). Envolve mover o cursor do usuário para um local diferente de forma fraudulenta. Isso pode ser usado para roubar os dados pessoais inseridos na linha. Esse subtipo de ataque é muito raro hoje em dia, pois os exploits usados para realizá-lo foram quase totalmente corrigidos.
- Roubo de arquivo (roubo de arquivo). Seus cliques são interceptados para estabelecer uma conexão com o servidor de arquivos. Isso dá ao invasor acesso a arquivos pessoais em seu computador. Se você tiver dados confidenciais em seu PC, os golpistas poderão visualizá-los e baixá-los e, em seguida, usar essas informações para chantageá-lo.
Como um ataque de clickjacking é executado
Embora o clickjacking assuma muitas formas, há um padrão geral de como o clickjacking é realizado que parece formar a base dessa prática de hacking.
Existem duas maneiras principais:
- Em uma forma de clickjacking, um site real é interceptado por um elemento HTML Iframe invisível que contém botões invisíveis para o usuário. Quando você realiza seus negócios no site oficial, seus cliques são interceptados e usados para realizar uma das ações acima, como gravar um vídeo em sua webcam.
- Outro tipo de clickjacking é conhecido como ataque de reparação de interface do usuário. A vítima é redirecionada para um site criado especificamente para golpes de transferência de dinheiro. Você pode receber um e-mail com um link que leva a um site que oferece algum tipo de recompensa. Ao abri-lo, você verá um botão que deve pressionar para receber a cobiçada recompensa.
Como prevenir o clickjacking
Clickjacking visa dois lados diferentes ao mesmo tempo. O primeiro é o proprietário de um site legítimo que será comprometido por um frame invisível fraudulento. Os proprietários de recursos podem projetar seu site de forma que ele não seja encapsulado em uma tag Iframe HTML e permaneça seguro.
Se você não é o proprietário do site, mas apenas um usuário comum, existem várias maneiras de evitar ser vítima de golpistas.
Primeiro, certifique-se de que seu navegador da Web esteja atualizado para a versão mais recente. Muitas explorações de clickjacking são corrigidas rapidamente pelos desenvolvedores. Outra maneira eficaz de evitar esse ataque é usar extensões especiais do navegador. Por exemplo, No ClickJack for Google Chrome mostrará camadas ocultas da web que você não pode ver se alguma for encontrada. Assim, você pode proteger a si mesmo e seus dados pessoais.