クリックジャッギング対策とは？Webサイトのセキュリティ対策

2023年10月24日
コラム
サイト構築

コラム

1 はじめに
2 透明なフレームや不可視のフレームとは
3 クリックジャッギング攻撃されるとどうなるか？
4 どのようにしてクリックジャッギング対策をするか？
5 まとめ
6 他のセキュリティ関連の記事

はじめに

クリックジャッギングとは、ウェブサイトのコンテンツを透明なフレームや不可視のフレーム(iframeなど)に表示し、ユーザーが意図しないクリックを引き起こす攻撃手法です。これにより、ユーザーが意図せずに攻撃者の意図した操作を実行してしまう可能性があります。

透明なフレームや不可視のフレームとは

ウェブページのコンテンツを表示するために使用されるHTMLフレーム（またはiframe）の一種です。これらのフレームは、通常のウェブページ内に埋め込まれており、ユーザーには見えないように設定されています。主な目的は、フレーム内に他のウェブコンテンツを表示することです。

透明なフレームや不可視のフレームは、一般的に以下のような状況で使用されることがあります：

クリックジャッギング攻撃

攻撃者がウェブページを複数のフレームに分割し、そのうちの1つに攻撃コードを配置します。ユーザーが意図せずそのフレームをクリックしてしまうと、攻撃が実行される可能性があります。

フィッシング攻撃

攻撃者が偽のログインフォームや情報入力フォームを不可視のフレーム内に配置し、ユーザーに本物のウェブサイトと思わせて個人情報を入力させる詐欺行為を行います。

クロスサイトスクリプティング（XSS）攻撃

攻撃者が他のウェブサイトからのコンテンツを不可視のフレーム内に埋め込み、ユーザーのセッション情報やクッキーを盗むなどの攻撃を行います。

クリックジャッギング攻撃されるとどうなるか？

クリックジャッギング攻撃は、攻撃者がウェブページ上で不正なクリックを誘導する手法です。攻撃者は透明なフレームや不可視のフレームを使用して、ユーザーが意図せずに不正なクリックアクションを実行するように誘導します。この攻撃が成功すると、以下のような問題が発生する可能性があります：

ユーザーの意図しないアクション

ユーザーは自分がクリックしていると思っているコンテンツが実際には不正なフレーム内にあることに気付かず、意図しないアクションを実行してしまう可能性があります。例えば、ボタンをクリックしてしまうと、不正な購買処理や情報送信が行われるかもしれません。

フィッシング詐欺

攻撃者は不正なフレーム内に偽のログインフォームや情報入力フォームを表示し、ユーザーに正規のウェブサイトと思わせて個人情報を入力させる詐欺行為を行います。これにより、ユーザーの個人情報やログイン情報が盗まれる可能性があります。

不正なトランザクション

不正なトランザクションとは、金融取引やオンライン決済などのプロセスにおいて、関与者の同意や許可なく行われる取引のこと。

クリックジャッギング攻撃により、ユーザーが意図せずに不正なアクションを実行した結果、不正なトランザクションが行われる可能性があります。例えば、商品の購入や支払いなどが行われるかもしれません。

セッションハイジャック

不正なフレーム内で実行されたスクリプトによって、ユーザーのセッション情報やクッキーが盗まれる可能性があります。これにより、攻撃者はユーザーのアカウントにアクセスし、不正な操作を行うことができます。

どのようにしてクリックジャッギング対策をするか？

サーバーの.htacceessファイルに下記セキュリティヘッダーを追加してください。

Header always append X-Frame-Options SAMEORIGIN

上記1行をを設定することで、ウェブページは同じドメイン内からのみフレーム内で表示されるようになります。他のドメインからの埋め込みを防ぐことができ、クリックジャッギング攻撃からの保護が強化されます。

他のドメインからの埋め込みとは？

https://a.com で Header always append X-Frame-Options SAMEORIGIN を設定した場合、https://b.com で <iframe src="https://a.com"> を利用しても https://a.com が表示されなくなります。

まとめ

ウェブサイトのセキュリティ対策は重要であり、クリックジャッギング対策もその一環です。セキュリティヘッダー「Header always append X-Frame-Options SAMEORIGIN」の設定を通じて、クリックジャッギング攻撃からの保護を強化することができます。しかし、これだけでなく他のセキュリティ対策も組み合わせて実施することが推奨されます。