Clickjacking: приховані кліки на чужих сторінках

Коротко: Атака, за якої справжня сторінка невидимо лежить поверх принади, тож користувач ненавмисно натискає її кнопки.

Докладніше: Зловмисник вбудовує цільову сторінку в прозорий <iframe> і розміщує поверх безневинної на вигляд сторінки («Виграй телефон!»). Хто натискає на принаду, насправді запускає на цільовій сторінці дію, наприклад «видалити акаунт» чи «купити», зі своїм наявним входом.

Подробиці

Як це працює

За допомогою CSS iframe робиться невидимим через opacity: 0 і зсувається так, щоб небезпечна кнопка лежала точно під принадою. Користувач бачить лише принаду й натискає.

Захист: X-Frame-Options і CSP frame-ancestors.

Див. також: заголовки безпеки, Content Security Policy, XSS