Clickjacking.

O clickjacking incorpora uma página sensível (por exemplo, definições de conta, consentimento OAuth, confirmação de pagamento) dentro de um iframe num site malicioso e disfarça-a visualmente — frequentemente através de transparência, sobreposições CSS cuidadas ou posicionamento estratégico sob botões-isca. O utilizador julga estar a interagir com a página visível, enquanto os seus cliques, toques ou arrastes são, na verdade, entregues ao frame oculto, executando ações na sua sessão autenticada.

O termo foi cunhado em 2008 por Jeremiah Grossman e Robert Hansen, que demonstraram o enquadramento (framing) do gestor de definições do Adobe Flash para ativar silenciosamente a webcam e o microfone de uma vítima. A defesa que surgiu, o cabeçalho X-Frame-Options, foi padronizada como RFC 7034 (2013) e desde então foi substituída pela diretiva frame-ancestors do Content-Security-Policy, que é mais granular e suporta múltiplas origens permitidas. As variantes continuam a evoluir: cursorjacking, roubo de dados por drag-and-drop e likejacking. No final de 2024, o investigador Paulos Yibelo publicou o "DoubleClickjacking", que explora o intervalo entre os dois eventos de um duplo-clique para trocar a página subjacente após o primeiro clique, contornando X-Frame-Options, frame-ancestors e cookies SameSite, porque nenhum frame cross-site está de facto presente no momento do clique.

As defesas combinam controlos de framing (frame-ancestors 'self' ou uma allowlist explícita), exigência explícita de gesto do utilizador e de confirmação para ações sensíveis, desativação de botões até um breve atraso após o foco, e cookies SameSite para limitar o estado entre contextos.

flowchart TD
  A[Vítima visita<br/>página do atacante] --> B[UI-isca:<br/>'Clique para ganhar']
  B --> C[Iframe invisível carrega<br/>o site-alvo real]
  C --> D[Vítima está autenticada<br/>no alvo]
  B --> E[Sobreposição transparente<br/>alinha botão oculto]
  E --> F[Vítima clica na isca]
  F --> G[Clique recai no botão<br/>oculto 'Aprovar']
  G --> H[Ação executa na<br/>sessão da vítima]