Clickjacking ¿Qué es y cómo puedes evitarlo?

Cuando se trata de formas en que los hackers y distribuidores de malware obtienen acceso a su computadora, hay algunas cosas de las que se habla mucho: ingeniería social ¿Qué es la ingeniería social? [MakeUseOf explica] ¿Qué es la ingeniería social? [Explica MakeUseOf] Puede instalar el firewall más fuerte y costoso de la industria. Puede educar a los empleados sobre los procedimientos de seguridad básicos y la importancia de elegir contraseñas seguras. Incluso puede bloquear la sala de servidores, pero cómo ... Leer más, inyección SQL ¿Qué es una inyección SQL? [MakeUseOf explica] ¿Qué es una inyección SQL? [MakeUseOf Explica] El mundo de la seguridad de Internet está plagado de puertos abiertos, puertas traseras, agujeros de seguridad, troyanos, gusanos, vulnerabilidades de cortafuegos y una gran cantidad de otros problemas que nos mantienen en alerta todos los días. Para usuarios privados,… Leer más, ataques DDoS ¿Qué es un ataque DDoS? [MakeUseOf explica] ¿Qué es un ataque DDoS? [MakeUseOf Explica] El término DDoS pasa silbando cada vez que el ciberactivismo levanta su cabeza en masa. Este tipo de ataques son titulares internacionales debido a múltiples razones. Los problemas que impulsan esos ataques DDoS a menudo son controvertidos o altamente ... Leer más, y así sucesivamente. Pero un ataque sobre el que no se habla tanto es tan nefasto como los otros es clickjacking.

El clickjacking es difícil de detectar, puede afectar a casi cualquier persona y está distribuido en una amplia variedad de sistemas operativos y aplicaciones. Esto es lo que necesita saber sobre el clickjacking, incluido lo que es, dónde lo verá y cómo protegerse contra él..

¿Qué es clickjacking?

Como es posible que haya tomado el nombre, el secuestro de clics es el proceso de secuestrar el clic de un usuario en una computadora (también se puede usar para secuestrar pulsaciones de teclas, pero “robo de teclas” es mucho más difícil de decir). Hay varias formas en las que se puede llevar a cabo este proceso, pero todas tienen una cosa en común: un usuario piensa que está haciendo clic en una cosa, cuando en realidad, está haciendo clic en otra cosa..

Muchos ataques de clickjacking incluyen una interfaz de usuario transparente colocada sobre otra interfaz que el usuario espera ver (por eso “Corrección de la interfaz de usuario” es otro nombre para este método). Luego, cuando ese usuario piensa que está haciendo clic en algo, en realidad está haciendo clic en otra cosa que no puede ver. Puede pensar que está haciendo clic en un enlace que lo suscribirá para recibir un boletín de noticias interesante. Aprenda algo nuevo con 10 boletines electrónicos de Worth-It. Aprenda algo nuevo con 10 boletines electrónicos de correo electrónico de Worth-It. Se sorprenderá de la calidad de los boletines de noticias de hoy. Ellos están haciendo una reaparición. Suscríbete a estos diez fantásticos boletines y descubre por qué. Lea más, cuando en realidad está haciendo clic en un botón que le da acceso a un ciberdelincuente a su cuenta de correo electrónico, por ejemplo.

Otro tipo de ataque cambia la posición real del cursor del usuario, pero deja la pantalla sin tocar, de modo que el cursor se ve como si estuviera en un lugar, pero en realidad está en otro. Suena como si solo fuera una gran molestia, pero se puede usar para hacer que la gente haga clic en cosas que brindan información confidencial. 10 Información que se usa para robar su identidad. 10 Información que se usa para robar su identidad. Para la Oficina de Justicia de los EE. UU., el robo de identidad costó a las víctimas más de $ 24 mil millones en 2012, más que el robo de viviendas, el robo de vehículos y la propiedad combinados. Estas 10 piezas de información son lo que los ladrones buscan ... Leer más .

Algunos otros ataques creativos caen bajo el paraguas del clickjacking, también. Por ejemplo, un ataque reciente utilizó una pieza de malware para redirigir las búsquedas de los usuarios en Bing, Google y Yahoo a páginas de resultados personalizadas (y fraudulentas) que estaban llenas de anuncios impulsados ​​por Google AdSense. Los usuarios harían clic en los anuncios, pensando que eran resultados de búsqueda legítimos, y que los atacantes recibirían un pago.

Algunas personas incluso incluyen ataques de tipo de ingeniería social en el clickjacking; por ejemplo, en 2009, un tweet iba alrededor de Twitter que decía “No haga clic” e incluyó un enlace. Cada vez que alguien hiciera clic en el enlace, lo mismo se tuitearía desde su cuenta. Técnicas similares Cinco amenazas de Facebook que pueden infectar su PC y cómo funcionan Cinco amenazas de Facebook que pueden infectar su PC y cómo funcionan Leer más se han utilizado para difundir enlaces que generan dinero en Facebook.

Sin embargo, el clickjacking no solo se limita a sitios web y aplicaciones en las que los usuarios tienen un mouse; También puede ocurrir en dispositivos móviles. Un ejemplo reciente es Android.Lockdroid.E, una pieza de Android Malware en Android: los 5 tipos que realmente necesita saber sobre Malware en Android: los 5 tipos que realmente necesita saber sobre Malware puede afectar tanto a dispositivos móviles como a dispositivos de escritorio . Pero no tenga miedo: un poco de conocimiento y las precauciones adecuadas pueden protegerlo de amenazas como el ransomware y las estafas de extorsión sexual. Leer más que utiliza clickjacking (o “touchjacking,” si lo prefiere) para obtener derechos administrativos para el dispositivo de destino. Y recientemente nos enteramos de la vulnerabilidad de Accesibilidad Clickjacking en Android. Cómo se pueden usar los Servicios de Accesibilidad de Android para hackear su teléfono. Cómo se pueden usar los Servicios de Accesibilidad de Android para hackear su teléfono. Los investigadores de seguridad han identificado una vulnerabilidad de seguridad en los Servicios de Accesibilidad de Android, que podría permitir Un atacante para ganar el control del dispositivo. Veamos cómo puedes evitar que esto suceda. Leer más teléfonos inteligentes y tabletas.

Qué puedes hacer para prevenir el pinchazo

Desafortunadamente, no hay mucho que pueda hacer para evitar el clickjacking a menos que sea un administrador de sitios web. Con mucho, el método más comúnmente recomendado para protegerse mientras navega es usar NoScript, el complemento de Firefox que evita que los scripts se carguen sin su autorización específica. NoScript tiene algunas características específicamente anti-clickjacking, y es realmente bueno para detectar los tipos de scripts que crean superposiciones transparentes en los sitios web.

Cualquier extensión similar que pueda usar para evitar que los scripts o aplicaciones se carguen. Controle su contenido web: Extensiones esenciales para bloquear el seguimiento y Scripts Controle su contenido web: Extensiones esenciales para bloquear el rastreo y scripts La verdad es que siempre hay alguien o algo que monitorea su Actividad y contenidos en internet. En última instancia, cuanta menos información permitamos a estos grupos tener más seguros estaremos. Leer más también proporcionará un poco de protección.

Sin embargo, las mejores defensas contra el clickjacking deben provenir de los administradores del sitio. Muchas de las defensas son bastante técnicas, y si quieres saber exactamente cómo implementarlas, te recomiendo que consultes la Hoja de trucos de defensa de Clickjacking de OWASP..

Una de las mejores maneras de prevenir el clickjacking en su sitio es incluir un encabezado HTTP de x-frame-options que evite que el contenido de su sitio se cargue en un marco ( etiqueta) o iframe (