¿Qué son los ataques de clickjacking? Consejos de protección y prevención

Clickjacking, también conocido por nombres como Ataque de reparación de interfaz de usuario, Ataque de reparación de IU, Reparación de IU, es una técnica maliciosa común utilizada por los atacantes para crear múltiples capas complicadas para engañar a un usuario para que haga clic en un botón o enlace en otra página cuando intenta hacer clic en otra página. Por lo tanto, el atacante controla con éxito al usuario para que haga clic en un enlace de una fuente externa, mientras lo "piratea" desde la página original. Esta técnica tiene usos ilimitados cuando se trata de la explotación del usuario. Por ejemplo, un ataque de este tipo puede convencer a los clientes de ingresar sus datos bancarios en una página de terceros que refleje la original.

¿Qué es Clickjacking?

Clickjacking es una actividad maliciosa, donde los enlaces maliciosos están ocultos detrás de enlaces o botones genuinos, haciendo que los usuarios activen una acción incorrecta con su clic.

estafas de clickjacking

Un ejemplo común y enormemente destructivo de esta técnica podría ser cuando un atacante que construye un sitio web que tiene un botón dice "Haga clic aquí para ingresar al concurso". Sin embargo, justo al lado del botón, ponen en un marco casi invisible que vincula a la 'Eliminar todos los contactos de su cuenta de Gmail. La víctima intenta hacer clic en el botón, pero en realidad hace clic en el botón invisible. Por lo tanto, el atacante ha "pirateado" el "clic" del usuario, y de ahí el nombre Clickjacking.

En los últimos tiempos, Clickjacking ha llegado a servicios populares, como Adobe Flash Player y Twitter. Algunos atacantes alteraron la configuración del plugin de Adobe Flash. Al cargar esta página en un iframe invisible, un atacante podría engañar a un usuario para que altere la configuración de seguridad de Flash, dando permiso para que cualquier animación de Flash utilice el micrófono y la cámara de la computadora.

Hablando de Twitter, clickjacking se metió en un gusano de Twitter. Este ataque fue más bien dirigido a los usuarios, lo que los obligó a retwittear una ubicación y difundirla ampliamente antes de que Twitter interviniera para controlar el virus.

Qué es Cursorjacking

Un tipo de Clickjacking funciona disfrazando el cursor del mouse y convenciendo al usuario para que reemplace sus clics en otra ubicación en la misma página. Un incidente popular de Cursorjacking fue descubierto en Mozilla Firefox en sistemas Mac OS X utilizando código Flash, HTML y JavaScript que también puede conducir al espionaje de la cámara web y la ejecución de un complemento malicioso que permite la ejecución de malware en la computadora del usuario atrapado.

Qué es Likejacking

Además de Cursorjacking, también se han reportado incidentes de Likejacking. Hecho popular después del advenimiento de Facebook en la cultura pop, este término que se explica por sí mismo significa secuestrar a la persona para que le guste una página de Facebook que supuestamente no debería saber originalmente.

Consejos para la protección Clickjacking

Opciones de X-Frame

Esta solución de Microsoft es una de las más efectivas contra ataques de clickjacking en su máquina. Puede incluir el encabezado HTTP X-Frame-Options en todas sus páginas web. Esto evitará que su sitio se coloque dentro de un marco. X-Frame es compatible con las últimas versiones de la mayoría de los navegadores, incluidos Safari, Chrome, IE, pero puede tener algunos problemas con Firefox. La gran parte del uso de X-Frame es que es extremadamente simple, pero necesita acceso a la configuración del servidor web y al lenguaje de scripting en el servidor.

Mueva elementos en sus páginas

El atacante que intenta colocar clickjacking en sus páginas web no tiene conocimiento de la ubicación actual de los elementos de su lado. Solo puede colocar sus elementos infectados según la configuración predeterminada. Es una buena idea intentar mover elementos en su página; por ejemplo, los atacantes pueden tener como objetivo el botón Me gusta de Facebook. Al mover ese elemento a otra ubicación, puede detectar fácilmente cuándo se produce dicho incidente. El único problema con esta solución es que es extremadamente difícil para los usuarios normales llevar a cabo.

URL de una sola vez

Este es un método bastante avanzado de protección contra los clickjackers, que podrían estar lo suficientemente informados como para superar sus filtros básicos. Puede hacer que el ataque sea mucho más difícil si incluye un código de una sola vez en las URL de páginas cruciales. Esto es similar a nonces utilizado para prevenir CSRF, pero es único en la forma en que incluye nonces en URL a páginas de destino, no en formularios dentro de esas páginas.

Framebuster Javascript

Otra forma de escapar de las garras de un ataque de clickjacking es verificar el código JavaScript para detectar. Este proceso se llama frambusting

Consejos para evitar el clickjacking

Evaluar la protección de correo electrónico

Instalar y verificar un fuerte filtro de correo no deseado es una forma efectiva de detectar cualquier tipo de ataque en sus cuentas. Los ataques de clickjacking generalmente comienzan engañando a un usuario a través del correo electrónico para que visite un sitio malicioso. Esto se hace mediante la implementación de correos electrónicos falsos o especialmente diseñados que parecen auténticos. El bloqueo de correos electrónicos ilegítimos reduce un posible ataque de clickjacking y una serie de otros ataques también.

Utilice los cortafuegos de aplicaciones web

Los firewalls de aplicaciones web de los WEF son un aspecto importante de la seguridad en el caso de las empresas que tienen la mayoría de sus datos en Internet. Algunas de estas firmas tienden a ignorar la necesidad de una y terminan siendo atacadas con incidentes de clickjacking masivo. Datos recientes han demostrado que casi el 70 por ciento de todas las PYMES fueron pirateadas de alguna manera en la última década más o menos. Puede quitar una gran carga de su placa, reduce en gran medida los riesgos y cuesta menos que la pérdida que podría enfrentar.

Desafortunadamente, no existe una solución perfecta para evitar el clickjacking, ya que los atacantes eventualmente encontrarán maneras de superar la mayoría de las técnicas. A pesar de eso, los remedios más efectivos contra tales ataques serán X-Frame y FrameBuster Javascript.

fuente

Publicación relacionada

Deje un comentario.

Este sitio usa Akismet para reducir el correo no deseado. Descubra cómo se procesan los datos de sus comentarios.