クリックジャッキング

攻撃者ページ内に対象ページを覆い被せたり隠したりして、ユーザーが見ているものとは別の要素をクリックさせる UI 詐欺攻撃。

クリックジャッキングは、アカウント設定・OAuth 同意・決済確認などの機微なページを iframe で悪意あるサイトに埋め込み、透明化や精密な CSS オーバーレイ、囮ボタンの下への配置などで視覚的に偽装します。ユーザーは可視ページを操作しているつもりでも、クリック・タップ・ドラッグは隠された iframe に伝わり、認証済みセッションで実際の操作が行われます。亜種にはカーソルジャッキング、ドラッグアンドドロップ型、ダブルクリックジャッキングなどがあります。防御は対象ページ側で行います:X-Frame-Options、推奨は CSP の frame-ancestors、機微な操作で明示的なユーザー確認を要求、そして SameSite クッキーでクロスコンテキストの状態共有を制限することです。