Edición de «Clickjacking»

[[Archivo:Clickjacking.png|miniaturadeimagen|Representa como opera el Clickjacking, inyectando en el sitio una capa transparente que secuestra el click del usuario. ]]
El '''clickjacking''' (secuestro de clic) es una [[Malware|técnica maliciosa]] para engañar a usuarios de [[Internet]] con el fin de que revelen información confidencial o tomar control de su [[Computadora|ordenador]] cuando hacen clic en [[Página web|páginas web]] aparentemente inocentes. En un ataque de clickjacking mediante el uso de [[script]], iframe, CSS y cuadros de texto permite que el atacante capture los datos en una capa que controla y el usuario no puede ver, debido a que utilizan diversos métodos para ocultarla.
== Descripción ==

El clickjacking es posible debido a características aparentemente inofensivas de una página web [[HTML]] que pueden ser empleadas para realizar acciones inesperadas.

Existen varias formas de ejecutar esta técnica:

# '''Completamente oculto''': el ataque original consistía en cargar una pieza de contenido de la víctima en un iframe de 1x1 que evita que el usuario final pueda verla. Luego, el atacante centra el iframe 1x1 debajo del cursor para que el usuario final haga clic en él.
# '''Eventos de puntero''': se crea una etiqueta div flotante sobre la interfaz de confianza. Utilizando la propiedad de CSS pointer-events en 'none', los eventos ocurren en el div implantado que recibe toda la información.
# '''Recortar''': consiste en ocultar parte del contenido mediante recorte dejando visibles los botones originales de 'permitir' y 'cancelar'. Sin embargo, el atacante superpondría una nueva pregunta encima de la pregunta original. También puede presentarse como variante de este ataque, que se realice superposición de palabras individuales en la pantalla de confianza en lugar de superponer una sección completa.
# '''Superposición transparente''': sobre la ventana de confianza  se crea una capa transparente. Esto hace que el usuario final crea que está haciendo clic en el contenido que se encuentra debajo de la ventana transparente, cada clic es registrado por la ventana transparente ya que es el contenido más alto en el momento del clic.

== Historia ==
El término clickjacking fue acuñado por Jeremiah Grossman y Robert Hansen en 2008,<ref>{{Cita web|url=http://www.sectheory.com/clickjacking.htm|título=SecTheory - Internet Security|fechaacceso=2022-10-22|fecha=2016-06-02|sitioweb=web.archive.org|urlarchivo=https://web.archive.org/web/20160602131350/http://www.sectheory.com/clickjacking.htm|fechaarchivo=2 de junio de 2016|deadurl=}}</ref> también conocido como UI redressing. El clickjacking puede ser entendido como una variante del [[Confused_deputy_problem|problema de reemplazo confuso]].<ref>[http://waterken.sourceforge.net/clickjacking/ The Confused Deputy rides again!], Tyler Close, October 2008</ref> La directiva de la [[Unión Europea]] de 2011 sobre privacidad, conocida como ley de [[Cookie (informática)|cookies]], obliga a los [[Sitio web|sitios web]] que almacenan datos sobre sus visitantes a incluir una advertencia. Recientemente, se ha comprobado el ataque a sitios web que consiste en modificar la advertencia incluida en el sitio para que su clic sea desviado, abriendo un sitio web diferente. Los ataques detectados incluyen publicidad no visible dentro del aviso de privacidad. Al hacer clic en cualquier parte del aviso aparece la página del sitio publicitado.<ref>{{cita web|url=http://www.securityweek.com/eu-cookie-law-abused-clickjacking-campaign|título=EU Cookie Law Abused in Clickjacking Campaign|fechaacceso=11 de enero de 2016|fecha=8 de enero de 2016}}</ref>

== Referencias ==
{{listaref}}

== Enlaces externos ==

* [http://www.seguridad.unam.mx UNAM-CERT] {{Wayback|url=http://www.seguridad.unam.mx/ |date=20210425170433 }} Subdirección de [[Seguridad de la información|Seguridad de la Información]] UNAM-CERT (noticias, documentos, información para usuarios, revista .Seguridad, alertas de seguridad, Malware UNAM, Honeynet UNAM, etc.)
* [https://www.researchgate.net/figure/Browser-model-showing-the-enforcement-of-Clickjacking-defense-in-CSP-XFO-and-CORP_fig3_312737918 CORP: A Browser Policy to Mitigate Web Infiltration Attacks]. December 2014, Bruhadeshwar Bezawada.
* [https://capec.mitre.org/data/definitions/103.html CAPEC-103: Clickjacking]. Common Attack Pattern Enumeration and Classification (CAPEC)
* [https://developer.mozilla.org/es/docs/Glossary/Clickjacking Clickjacking]. Mozilla.org 
* [https://www.microsoft.com/en-us/research/publication/clickjacking-attacks-and-defenses/ Clickjacking: Attacks and Defenses]. Actas del 21.º Simposio de Seguridad de USENIX. Agosto 2012.Microsoft. Lin-Shung Huang, Alex Moshchuk, Helen Wang, Stuart Schechter, Collin Jackson.
* [https://www.w3.org/Security/wiki/Clickjacking_Threats Amenaza Clickjacking] .World Wide Web Consortium

{{Control de autoridades}}
[[Categoría:Hacking]]
[[Categoría:Palabras y frases en inglés]]
[[Categoría:Ingeniería social (seguridad)]]