Клик-джекинг

Как работает Клик-джекинг

Механизм Атаки основан на манипуляции DOM-деревом и CSS-стилями. Злоумышленник создаёт HTML-страницу, где размещает видимый элемент (например, Видео или игру), а поверх него — прозрачный iFrame с атакуемым ресурсом. Пользователь видит только верхний Слой, но его клики проходят сквозь него. Ключевой параметр здесь — точное позиционирование элементов через position:absolute, чтобы координаты кнопок совпадали.

Техническая Реализация включает использование свойства opacity со значением 0 для iFrame. Это делает целевой интерфейс полностью невидимым, сохраняя его Интерактивность. Браузер обрабатывает Событие клика как легитимное взаимодействие с целевым сайтом. Для усложнения обнаружения атакующие могут динамически менять Прозрачность слоя при движении мыши, активируя защиту только в момент нажатия кнопки.

Зачем нужен Клик-джекинг

Основная цель применения техники в бизнес-среде — извлечение финансовой выгоды без прямого взлома данных. Маркетологи «чёрного» сектора используют эту уязвимость для генерации бесплатного трафика и накрутки статистики. Каждый Клик засчитывается системой партнёрской сети, принося доход злоумышленнику. Это позволяет обходить механизмы антифрода, так как действие исходит от реального пользователя.

Помимо монетизации, метод применяется для дестабилизации конкурентов. Нагнетая Бот-трафик или нецелевые клики, атакующий может спровоцировать блокировку рекламных кампаний жертвы со стороны рекламных платформ. Также техника используется для принудительной подписки на рассылки или установки вредоносных расширений браузера, что снижает доверие пользователей к бренду.

Эволюция метода привела к появлению нескольких специализированных подвидов, адаптированных под разные задачи. Классический вариант использует статичный прозрачный Слой. Like-джекинг фокусируется исключительно на кнопках социальных сетей, заставляя пользователей лайкать или репостить Контент без их ведома. Курсор-джекинг (cursorjacking) добавляет визуальный обман: видимый курсор мыши смещается относительно реального положения указателя, создавая иллюзию безопасного клика.

Скролл-джекинг перехватывает события прокрутки страницы, подменяя элементы интерфейса во время движения колеса мыши. Это затрудняет идентификацию цели пользователем. В контексте SEO-фрода выделяют клик-джекинг для накрутки поведенческих факторов, где цель — имитация длительного пребывания на сайте. Каждый вид требует индивидуальной стратегии защиты, комбинирующей серверные заголовки и скрипты.

Где используется Клик-джекинг

Наиболее уязвимыми являются сайты с высокой вовлечённостью и частым взаимодействием с элементами управления. Торрент-трекеры, онлайн-кинотеатры и файлообменники часто становятся мишенями, так как пользователи привыкли активно кликать по кнопкам воспроизведения и загрузки. Партнёрские сети также подвержены риску, когда вебмастера внедряют скрытые ссылки в свои лендинги для обхода модерации рекламодателей.

Рекламные баннеры иногда используются как вектор Атаки, перенаправляя клики на конкурентные предложения. Для борьбы с этим владельцы ресурсов внедряют заголовки безопасности, а рекламные платформы применяют алгоритмы анализа паттернов поведения. Аудиторы безопасности регулярно проверяют наличие уязвимостей в Веб-приложениях, тестируя возможность встраивания страниц в iFrame на сторонних доменах.

Защита от Атаки начинается с настройки HTTP-заголовков на стороне сервера. Заголовок X-Frame-Options указывает браузеру, разрешено ли отображать страницу внутри фрейма. Директива SAMEORIGIN разрешает вставку только с того же домена, а DENY запрещает любые попытки встраивания. Современная альтернатива — Content Security Policy (CSP), которая предоставляет более гибкий контроль через директиву frame-ancestors.

# Блокировка встраивания на сторонних сайтах
add_header X-Frame-Options "SAMEORIGIN" ;
# Альтернатива через CSP для современных браузеров
add_header Content-Security-Policy "frame-ancestors 'self'" ;