問題 No.4352
Webサイトを閲覧するユーザーを誘導し、意図しない操作を行わせるサイバー攻撃であるクリックジャッキングに関する記述として、最も不適切なものはどれか。
【正解の解説】
攻撃者は、標的サイトの画面を完全に不透明な状態のまま画面全体に配置し、ユーザーがキーボードから入力したパスワード情報を直接窃取する。
クリックジャッキングは透明な罠を重ねてクリックさせる手口であり、画面全体を不透明にしてキー入力を盗むのは別の攻撃です。これはマジックで目の前の人を別の場所に誘導する手品のようなクリックジャッキングの仕組みとは異なり、スパイが直接盗み聞きするような別物の手口を混同させる試験センターの定番の罠です。
スポンサーリンク
【その他の選択肢の解説】
攻撃者は、透過処理やCSSの重なり順を悪用して標的サイトの画面を透明化し、ユーザー自身に気づかせないまま本来とは異なるボタンやリンクをクリックさせる。
これはまさにクリックジャッキングの本質を突いた記述であり正しい内容です。透明な罠のボタンを本物のボタンの上に重ねる手口は、まるで動く歩道の上を知らずに歩かされているようなもので、ユーザーは自分の意志でクリックしたと錯覚しますが実際には仕組まれた罠を踏まされています。
攻撃者は、正当なWebサイトのフレーム内に悪意あるコンテンツを巧妙に重ね合わせ、ユーザーがボタンを押した際に機密情報の公開設定が変更されるように仕向ける。
フレーム機能であるiframeなどを悪用して透明な罠サイトを重ねる手法は、クリックジャッキングの代表的な攻撃シナリオです。レストランのメニュー表の下に勝手にお高めのオプション契約書が隠されているようなもので、ユーザーは可愛い猫の画像を押したつもりがアカウント削除ボタンを押させられてしまいます。
攻撃者は、ソーシャルエンジニアリングの手法を組み合わせてユーザーの心理的な隙をつき、偽のログイン画面へ直接誘導した上でアカウント情報を入力させる。
これはクリックジャッキングではなく、偽サイトに誘導して入力を促すフィッシング詐欺やファーミングの説明にあたります。出題者はよく似たサイバー攻撃の手口を混ぜて受験者を迷わせようとするため、画面を重ねてクリックさせる仕掛けなのか、偽サイトに直接入力させるものなのかを見極める必要があります。