-
数億人のウェブユーザーが、新たに発見された危険なサイバー攻撃について警告を受けている。この攻撃はブラウザの種類を問わず、「ダブルクリック」さえすれば成立してしまう。以下に、「ダブルクリックジャッキング（ダブルクリックジャック攻撃）」について知っておくべきポイントをまとめる。
■ダブルクリックは危険、新たなハック攻撃が確認される
アプリケーションのセキュリティやクライアント側の攻撃手法を研究するパウロス・イベロは、多くの脆弱性や新しいセキュリティ脅威を発見してきた実績を持つ。そのイベロが、ウェブブラウザを使うほぼすべての人に影響しかねない新たな攻撃手法「ダブルクリックジャッキング」を明らかにした。自身のブログ投稿で、ChromeやEdge、Safariをはじめとするほぼあらゆるブラウザで、ユーザーがダブルクリックを行った際に認証情報を奪われてしまう具体的な方法を技術的に示している。
このまったく新しい脅威が成立するのは、ほとんどのウェブサイトとウェブブラウザにおいて、ユーザーに自覚させずにクリックさせる仕組みをハッカーが作り出せるからだ。従来のクリックジャッキングは、ブラウザ開発者が組み込んだ保護機能によって時代遅れのものになりつつあった。しかし、ダブルクリックジャッキングは、マウスのダブルクリックのタイミングを利用した攻撃層をもう一段追加することで、これらの防御を回避する。
被害者が画面上にあるCAPTCHAなどをクリックしているつもりのわずかな時間を突いて、実際にはログインやアカウント承認といった操作を承認させるわけだ。要するに、新たなウィンドウを開き、被害者にダブルクリックを促している間に、ハッカーが一瞬で別のウィンドウへコンテキストを切り替えてしまう。
筆者はアップル、グーグル、マイクロソフトにコメントを求めている。
■ダブルクリックジャッキングとは何か？
旧来のクリックジャッキングとは、ユーザーに見えない要素や、別のものに偽装されたウェブページ要素をクリックさせるためにさまざまな手法を用いる攻撃だ。典型的には、iframe（ウェブページ内に別のページを埋め込む仕組み）を使い、不可視のHTML要素や完全に不可視のページ自体を重ねて表示させる。こうすると、ユーザーは目に見える要素をクリックしているつもりでも、実際にはその上にある不可視要素をクリックしていることになる。
（省略）
イベロによれば、「わずかな違いに見えるかもしれませんが、ダブルクリックジャッキングは既存のクリックジャッキングの防御をすべて回避する新たなUI操作攻撃で、ほぼすべてのウェブサイトに影響し得るのです」という。さらに以下の理由により危険性が高いと指摘している。
・既存のクリックジャッキング対策を回避できる
・暗号資産ウォレットやスマートフォンへの攻撃にも応用可能
・ハッカーにとって新たな攻撃面を提供する
・あらゆるウェブサイトがデフォルトで脆弱
・被害者はダブルクリックするだけで攻撃が成立する■ダブルクリックジャッキングの手口
ダブルクリックジャッキングの手口を詳細に解説したブログ記事の中で、イベロは攻撃者がこの手口をどのように悪用できるかの例を2つ挙げている。
1つは、OAuth（Open Authorization、異なるサイト間でユーザー認証を安全に行うための業界標準プロトコル）とAPI（Application Programming Interface、アプリケーション間で情報をやり取りする仕組み）の権限を悪用するケースだ。
OAuthは、アプリケーションやウェブサイトが、別のサイトでホストされているリソースに、別のユーザーに関連してアクセスできるようにするプロトコルだ。OAuthは、これを行うための業界標準の安全な方法……のはずだった。「攻撃者は、広範な権限を持つ悪意のあるアプリケーションを承認するようターゲットを欺く可能性がある」とイベロ氏は警告する。「この手法は残念ながら、OAuthをサポートするほぼすべてのサイト、つまりAPIをサポートする主要なウェブサイトのほとんどで、アカウント乗っ取りを起こしています」
もう1つとして、イベロはワンクリックでのアカウント変更攻撃を挙げている。これは、ダブルクリックジャッキングが「セキュリティ設定の無効化、アカウントの削除、アクセス許可や送金、トランザクションの確認など、アカウント設定の変更をユーザーにクリックさせるために利用できる」という点で、クリックジャッキングと類似している。
ランサムウェアなどが減少したからといって油断すべきではない。ハッカーは戦術を変えただけなのだ（以下ソース）
1/6(月) 17:00配信
https://news.yahoo.co.jp/articles/42e25bb4dbe45d13ca91f8753aa69f8a48e3654e -
クリックしたらいつの間にか偽装サイトに瞬時に変わってるのか
-
通はシングルクリックだぞ
-
低性能PCなら安全
-
乳首ダブルクリックしちゃうぞ～
-
チャタリングで勝手にダブルクリックになってしまう
-
下からでてくる見えない広告だろ
対策するわけ無いな -
特定の場所をクリックしようとしたときに
巨大広告が画面上から湧いて出てきて意図しない場所をクリックする問題と何が違う？そもそもブラウザ操作中にダブルクリックとかしないし
-
ブラウザに記憶させなきゃいい訳か
-
>>9
今のところ、一番のバカレスです！ -
ダブルクリックって、使う事ある？
必須なのは、大昔のWindowsくらいだよね？
今は何でもワンクリックで済む
ましてブラウザ上でダブルクリックなんて使う事ないよね？
どんな時に使うの？ -
>>10
単語を選択状態にしたい時とか…… -
>>10
おじいちゃんは指が震えてダブルクリックになっちゃう -
乳首ダブルクリックしちゃうぞ！
-
ダブルクリックしなかったら安全
-
OAuthについてほぼ全ての人が間違って理解しているな
このプロトコルはアクセス権限を他人に委譲するための仕組みでセキュリティホールを自発的に開けるものだ -
要は勝手にフォーカスを変えるってことかな
-
高橋名人でもムリなん？
-
通はshift+クリックなんだが
-
>>16
通は… とか言ってて楽しいのか？ -
スマホがワンタッチでアプリ開けるから
ダブルクリックする必要も無いと感じた -
ブラウザっていうほどダブルクリック必要か
右クリックは結構使うけど -
>>18
ほとんどない。
ブラウザアプリでメニューが多い仕様のときに設定するぐらいだな。
ゲームなどならあるかもしれない。 -
なりすましか、そもそもSNSのアカウントがないわ
Linuxユーザーなので、Apple IDとかGoogle ID も使ってないわ -
ほんの数フレームで有害サイトって開けるもんなの？
-
頭良いな
-
慣れてない人の、クリック長押しからダブルクリックを見ると苛ついてしまう幼稚な俺。
-
いまだにクリップボードの中身を暗号化させてから非同期送信する方法がjsで完結方法があるぐらいだからな。
ブラウザアクセスだとスマホはとくにやばい。 -
シングルクリックのOSさわると、楽だと感じるのは事実
-
「更新」押すと同じ位置に「アンインストール」が出るソシャゲ
-
どうでもいい情報しかないバカのお前らには関係ない話だな
-
>>32
ふーん頭悪いとそんなの思いますか？
-
ID・パスワードをブラウザに保存とかしてると
引っ掛かるってこと？ -
乳首ﾀﾞﾌﾞﾙｸﾘｯｸさせてくれる女子募集中
-
スマホ使いはそのあたりの操作の違い、動作の違いを理解してないことが多いからなぁ
「何でもいいじゃん。テキトー」 -
NHK「いいこと思いついた」
-
>>38
契約に拘らなくていいだろ
政府と組んで人頭税にしてしまえ -
うちの会社のおっさんは常にダブルクリックしてる
注意してもひたすらダブルクリック -
>>39
それ
ゴミみたいな馬鹿はどうしようもない
基本自分で調べない
4ねよ -
ブラウザってダブルクリックする必要無いだろそもそも
-
>>40
文字列の範囲選択とかするとき使う -
WEBサイトでダブルクリックする場面てないだろ
-
>>42
馬鹿はリンク踏む時にダブルクリックするんだよ
そんな地獄にいます -
ダブルクリックなんてエクスプローラでファイル開く時かショートカットでアプリ起動する時くらいしか使ってない気がする
-
Googleドライブはダブルクリックして使うな
-
IE開く時はダブルクリックだな
IE使用禁止? -
考えてみればブラウザでダブルはないな
-
夫は未だ体の傷を知らない・・・
-
手マンで鍛えあげてるから余裕で大丈夫
-
今ブラウザつかてみたらフォーカス移動する時にワンクリックぐらいだな
チャタリングは怖いな
マウスのプロパティでダブルクリックの閾値広げとこうかね -
「ダブルクリックは危険」とか、もうどうしたらいいのよ。。
-
よくわからん
-
ブラウザなのにイベントフックで入力を横取りできる
のに気付いてからなんか違うと思っていたが・・ -
マウスに勝手にダブルクリックになる症状が出て
接点復活剤というの買ったばかり -
画像を使わないブラウザを使えばいいな
-
こわ
-
>>1
ほんとアクセス稼ぎ目的は目に余る全てのブラウザ？
攻撃成立条件をまず書いてみろよ雑魚w -
ハットトリック派の俺に死角無し
-
バツを何度押してもリンク先に飛んでしまう！
この！この！俺の指が！小指の先でこうやって！バツを狙ってこうして！まただ！クソが！ -
ブラウザでダブルクリックの癖がついている奴やばいな
-
レッドチームが絡んでいるってことだな。
-
トリプルクリックのオレは問題ナッシング
-
北朝鮮の海底ケーブルをズタズタに切れよ！
-
これワンクリックなら大丈夫なん？
最近って決定もワンクリックにしてる人が圧倒的に多いイメージあるけど -
サイトを左クリックしたら広告ウィンドウが開くやつどうにかならんかね、あれ。
-
ブラウザもエクスプローラも全部シングルクリック
-
NHK「これだ！」
-
高須クリニックにはご用心
-
原理的には確かにできるが、どうやってその悪意あるコードを挿入するのかね？
コメント