クリックジャッキングClickjacking / UI Redress Attack

クリックジャッキング (UI Redressing) は、攻撃者サイトが標的サイトを透明な iframe で重ね、見えないボタンを利用者がクリックすることで、本人意図とは異なる操作 (SNSいいね・送金・パスワード変更) を実行させる攻撃です。Twitter・Facebook 等の事例も報告されています。対策はOWASPに従い (1) HTTPレスポンスヘッダー X-Frame-Options: DENY または SAMEORIGIN を設定 (2) より新しい CSP の frame-ancestors 'none' / 'self' を併用 (3) アプリ側でJSによるフレームバスター (top != self ならリダイレクト) は補助手段として が標準です。frame-ancestors は CSP Level 2 で導入され、X-Frame-Options より柔軟 (複数オリジン許可可能) で推奨されています。