Was ist Clickjacking im Browser?

Clickjacking verleitet eine Person zu einem Klick auf ein verborgenes Bedienelement, sodass der Browser eine Handlung ausführt, die sie nicht billigen wollte.

Der Klick selbst ist echt und menschlich, was diesen Trick von unechten Werbeklicks trennt, die ein Budget leeren sollen.

So funktioniert es

Eine Seite, der die Person vertraut, ist so angeordnet, dass der sichtbare Knopf nicht das Element ist, das den Klick empfängt, und die unerwünschte Handlung kann eine Einstellung ändern oder einen Kauf starten, obwohl die Person schon angemeldet ist.
Der Schaden ist fehlgeleitete Zustimmung und nicht für sich ein gestohlenes Passwort.

Browser und Seiten können ablehnen, von Fremden eingerahmt zu werden, und sensible Handlungen können eine frische Bestätigung verlangen, die eine verborgene Schicht nicht still liefern kann.
Oberflächen, die Menschen überraschen, besonders rund um Zahlungen und Berechtigungen, verdienen dieselbe Sorgfalt wie Prüfungen auf dem Server.

Konkrete Beispiele

• Eine Person glaubt, ein Gutscheinbanner zu schließen, und billigt stattdessen eine Berechtigung auf einer Seite, auf der sie schon angemeldet war.
• Eine Spielseite verbirgt eine Zahlungsbestätigung unter einem sichtbaren Spielknopf, und der nächste Bildschirm zeigt eine unerwartete Belastung.
• Eine Einstellungsseite, die ablehnt, in eine andere Seite eingebettet zu werden, hindert eine fremde Person daran, ihre Knöpfe zu überdecken.

Schutzmaßnahmen

• Lehnen Sie ab, dass nicht vertrauenswürdige Seiten Ihre sensiblen Seiten einbetten, und prüfen Sie, dass Zahlungs und Berechtigungsbildschirme diese Ablehnung erzwingen.
• Verlangen Sie eine frische, sichtbare Bestätigung bei folgenreichen Handlungen, damit eine verborgene Schicht die Billigung nicht allein liefern kann.
• Prüfen Sie neue Oberflächen auf Elemente, die verdeckt, verschoben oder durchsichtig gemacht werden können und trotzdem Klicks empfangen.
• Bitten Sie den Support zu fragen, ob eine Person den Bestätigungsbildschirm erinnert, weil ein verwirrter Klick ein anderer Fall ist als ein gestohlenes Passwort.