クリックジャッキングとは？透明な罠で操作をすり替える攻撃

【深掘り】これだけは知っておけ

クリックジャッキング（Clickjacking）は、Webページ上に透明または目に見えないボタンやリンクを重ね、ユーザーに意図しない操作をさせるサイバー攻撃です。この表現は、Jeremiah GrossmanとRobert Hansenが2008年に造語したものです。攻撃の多くはiframe（インラインフレーム）を悪用します。攻撃者は自分のページの中に正規のWebサイトをiframeで埋め込み、その透明度を0にして見えない状態にします。ユーザーが表示されているボタン（例：「動画を再生」）をクリックすると、実際には透明なiframe内の別のボタン（例：「送金確定」「フォロー」「設定変更」）が押されてしまいます。

悪用される操作は多岐にわたります。SNSで知らない誰かを勝手にフォローさせる、プロフィールやプライバシー設定を変更させる、不正な購入手続きを完了させる、銀行口座から送金させる、カメラやマイクへのアクセス許可を与えさせる、などです。例えば無害に見えるページのボタンの上にTwitterの「フォロー」ボタンが重ねられていると、ユーザーは意図せず特定アカウントをフォローしてしまいます。クリックジャッキングはCSSのみでも仕掛けられるため、JavaScriptやFlashを無効化するだけでは完全には防げません。被害は個人だけでなく、業務用アカウントや企業システムにまで広がる可能性があり、影響が深刻化することもあります。

サイト運営者の対策として、X-Frame-Optionsヘッダーを設定して外部サイトからのiframe埋め込みを拒否すること。Content Security Policy（CSP）のframe-ancestorsディレクティブで信頼できるサイトのみiframeを許可すること。送金やパスワード変更など重要な操作には、再度パスワード入力を求めること。マウス操作だけで完了せず、キーボード操作を要求する仕組みを入れること。2015年時点で主要なブラウザはすべてX-Frame-Optionsに対応しています。利用者側の対策は限られますが、不審なサイトでのクリックを避け、OSとブラウザを最新に保つことが基本です。クリックジャッキングは「見えない操作のすり替え」であるため、サイト側がフレーム埋め込みを防ぐことが最も根本的な防御になります。

クリックジャッキングで悪用される操作

典型的なフレーズ・文脈

詐欺師

（攻撃ページ作成中）「無料動画再生」ボタンの真上に、透明にした送金確認ページのiframeを重ねる。透明度0だから利用者には見えない。再生ボタンを押した瞬間、裏で送金が確定する。気づかれずに資金を抜ける。

キャスター

セキュリティ専門家は、透明なボタンを重ねて意図しない操作をさせるクリックジャッキングについて、サイト運営者はX-Frame-Optionsの設定で外部サイトからの埋め込みを防ぐべきだと注意を促しています。

専門家

サイト運営者はX-Frame-OptionsやCSPで外部からのiframe埋め込みを防いでください。送金など重要操作には再認証を。利用者は不審なサイトでのクリックを避けることが大切です。被害は#9110へ。

困ったときの相談窓口

クリックジャッキングによる被害が疑われる場合は、以下の窓口に相談できます。

【まとめ】3つのポイント

この用語と一緒に知っておきたい用語

この手口が実際に使われた事件