インターネットを利用している際に、ボタンをクリックしただけで意図しない動作が実行されてしまった経験はないでしょうか。

このように、ユーザーが意図しない操作を強制的に行わせるサイバー攻撃の一種を「クリックジャッキング」と呼びます。

Webサイトの安全性を確保するためには、開発者や運営者がこの攻撃の仕組みを正しく理解し、適切な対策を講じることが不可欠です。

本記事では、クリックジャッキングの基礎知識から、具体的な攻撃手法、そして被害を防ぐための最新の対策までを詳しく解説します。

目次 [ close ]
  1. クリックジャッキングとは？基本的な定義と概要
  2. クリックジャッキングの仕組みと攻撃の手順
    1. 透明なインラインフレームの活用
    2. UIの重ね合わせによる誘導
  3. クリックジャッキングによって引き起こされる被害例
    1. SNSやコミュニティサイトでの拡散被害
    2. アカウント設定の勝手な変更
    3. 不正な送金や商品の購入
  4. Webサイト運営者が実施すべきクリックジャッキング対策
    1. 1. X-Frame-Optionsヘッダーの設定
    2. 2. Content Security Policy (CSP) の利用
    3. 3. Frame-busting（フレームバスター）スクリプト
  5. 開発時に注意すべきフレーム埋め込みの要件
  6. ユーザーができるクリックジャッキングへの自己防衛
  7. 他の脆弱性（CSRF）との違い
  8. まとめ

クリックジャッキングとは？基本的な定義と概要

クリックジャッキングとは、Webサイトの利用者を欺き、本人が意図していないボタンやリンクをクリックさせる攻撃手法のことです。

別名で「UI（ユーザーインターフェース）レッドレッシング」とも呼ばれており、視覚的な罠を仕掛けることが特徴です。

攻撃者は、無害に見えるWebページの上に、透明化した別のWebサイトを重ね合わせることで、ユーザーを誘導します。

ユーザーは、見えているページ上のボタン（例えば「動画を再生する」など）をクリックしたつもりでも、実際にはその背後に隠された別のサイトのボタン（例えば「商品を注文する」や「退会する」など）をクリックさせられてしまいます。

この攻撃は2008年頃に初めて提唱されましたが、現在でも依然としてWebサイトの脆弱性を突く脅威として存在し続けています。

クリックジャッキングの恐ろしい点は、ブラウザの標準的な機能を悪用するため、ユーザーが視覚的に違和感を抱きにくいことにあります。

クリックジャッキングの仕組みと攻撃の手順

クリックジャッキングがどのようにして実行されるのか、その技術的な仕組みについて掘り下げていきましょう。

この攻撃の核となるのは、HTMLの<iframe>要素と、CSSによる要素の透過処理です。

透明なインラインフレームの活用

攻撃者はまず、自分が用意した罠用のWebサイトを作成します。

そのページの中に、<iframe>タグを使用して、攻撃対象となる正規のWebサイト（例えばSNSの管理画面や銀行の送金ページなど）を読み込ませます。

このままでは、ユーザーには攻撃対象のサイトが見えてしまうため、CSSのopacityプロパティを使用して、iframe全体の透明度を0に設定します。

これにより、ユーザーの目には「攻撃者が用意した偽のコンテンツ」だけが見え、その裏側に「透明な本物のサイト」が重なっている状態が作り出されます。

UIの重ね合わせによる誘導

次に、攻撃者はCSSのz-indexプロパティなどを用いて、透明なサイトの特定のボタンが、偽サイトのボタンの真上に来るように精密に配置します。

例えば、偽サイトに「豪華景品が当たる！ここをクリック」という大きなボタンを配置し、その座標にピッタリ重なるように、透明な本物サイトの「アカウント削除」ボタンを配置します。

ユーザーが期待を込めて偽のボタンをクリックした瞬間、その操作は透明なレイヤーを突き抜けて、本物のサイトのボタンに対してクリックイベントとして伝達されます。

このとき、ユーザーは正規のサイトにログイン済み（Cookieが有効な状態）であることが多いため、サーバー側は正規のリクエストとして処理を実行してしまいます。

クリックジャッキングによって引き起こされる被害例

クリックジャッキングによる被害は、単なるいたずらに留まらず、深刻な金銭的被害やプライバシー侵害に直結することがあります。

ここでは、代表的な被害のシナリオをいくつか紹介します。

SNSやコミュニティサイトでの拡散被害

SNSにおいて、意図しない「いいね」や「シェア」、「フォロー」を強制されるケースが非常に多く見られます。

一見するとただのニュース記事や動画ページに見えますが、どこをクリックしても特定の投稿を拡散するように仕組まれていることがあります。

これにより、攻撃者が広めたいデマやフィッシングサイトのURLが、ユーザーの意図に反して知人へ拡散されることになります。

アカウント設定の勝手な変更

より深刻なケースでは、プロフィールの変更やメールアドレスの書き換え、パスワードのリセットなどが行われます。

攻撃者が管理するメールアドレスに変更されてしまった場合、アカウントそのものが完全に乗っ取られるリスクがあります。

また、プライバシー設定を「公開」に変更させることで、非公開にしていた個人情報を流出させることも可能です。

不正な送金や商品の購入

ECサイトやオンラインバンキングがターゲットになった場合、実害はさらに大きくなります。

「買い物カゴに入れる」ボタンや「送金を確定する」ボタンが透明化されて重なっていた場合、ワンクリックで金銭的な損失が発生します。

近年では、ワンタイムパスワードなどの多要素認証が普及していますが、ログインセッションが維持されている状態での操作は防げない場合があるため注意が必要です。

Webサイト運営者が実施すべきクリックジャッキング対策

クリックジャッキングは、ユーザー側で防ぐことが非常に困難な攻撃です。

そのため、Webサイトの構築者やエンジニアが、自サイトが他サイトのiframe内で読み込まれないように制限をかけることが最も有効な対策となります。

1. X-Frame-Optionsヘッダーの設定

「X-Frame-Options」は、HTTPレスポンスヘッダーの一つで、ブラウザに対して自身のサイトをiframe内に表示することを許可するかどうかを指示するものです。

このヘッダーを適切に設定することで、第三者のサイトから自身のサイトが読み込まれるのを防ぐことができます。

設定できる値には、主に以下の3種類があります。

設定値動作の説明
DENYサイト内のページを、いかなるサイトのiframe内にも表示させないようにします。
SAMEORIGIN自サイトと同じオリジン（ドメイン・プロトコル・ポート）のページ内でのみ、iframe表示を許可します。
ALLOW-FROM uri指定した特定のURIのサイトからのみ表示を許可しますが、多くの現代的ブラウザでは非推奨となっています。

現在、最も推奨される設定は「DENY」または「SAMEORIGIN」です。

例えば、Apacheサーバーで「SAMEORIGIN」を設定する場合、設定ファイル（httpd.confや.htaccess）に以下のコードを記述します。

Apache Conf
# X-Frame-OptionsヘッダーをSAMEORIGINに設定する例
Header always set X-Frame-Options "SAMEORIGIN"

2. Content Security Policy (CSP) の利用

X-Frame-Optionsよりも柔軟で強力な対策として、Content Security Policy (CSP) の「frame-ancestors」ディレクティブがあります。

CSPは現代のWebセキュリティにおける中心的な役割を果たす仕組みであり、クリックジャッキング対策にも非常に有効です。

frame-ancestorsを使用することで、自分のサイトを埋め込むことができる親要素のドメインを詳細に指定できます。

HTTP
# CSPを使用して自サイトの表示を制限するヘッダーの例
Content-Security-Policy: frame-ancestors 'none'; (全てのサイトで埋め込み禁止)
Content-Security-Policy: frame-ancestors 'self'; (自サイトのみ許可)
Content-Security-Policy: frame-ancestors 'self' https://trusted.example.com; (特定のサイトのみ許可)

X-Frame-OptionsとCSPの両方を設定した場合、一般的にはCSPの設定が優先されますが、古いブラウザへの互換性を考慮して併用することが推奨されています。

3. Frame-busting（フレームバスター）スクリプト

これは、JavaScriptを使用して、ページがiframe内で読み込まれているかどうかを判定し、もし読み込まれていれば強制的にトップレベルのウィンドウとして表示し直す手法です。

しかし、この方法はブラウザの設定でJavaScriptが無効化されている場合や、攻撃者がさらなる工夫（sandbox属性の利用など）を凝らした場合に回避される可能性があります。

そのため、あくまで補助的な手段として考え、基本的には前述のHTTPヘッダーによる対策を優先すべきです。

開発時に注意すべきフレーム埋め込みの要件

全てのページでiframeを禁止すれば良いわけではなく、業務上の必要性から他サイトへの埋め込みを許可しなければならないケースもあります。

例えば、ウィジェットの提供や、特定の提携サービス内での表示などが該当します。

そのような場合は、安易に制限を解除するのではなく、信頼できる特定のドメインのみを許可リストに加えるなどの慎重な設計が求められます。

また、重要な操作（決済や個人情報の変更など）を伴うページについては、たとえ提携先であってもフレーム内での表示は避け、必ず直接遷移させるように設計することが望ましいです。

ユーザーができるクリックジャッキングへの自己防衛

クリックジャッキングはサイト側の対策が主となりますが、ユーザー側でもリスクを軽減するために意識できることがあります。

まず、信頼できないWebサイトや、過度に刺激的なタイトルでクリックを誘うようなリンクを安易に開かないことが基本です。

また、不必要なタブを大量に開いたままにせず、利用が終わったサービスからはこまめにログアウトする習慣をつけることも効果的です。

ブラウザの拡張機能の中には、クリックジャッキングの疑いがある要素を検出して警告してくれるセキュリティツールも存在します。

最新のブラウザを使用し、OSやソフトウェアのアップデートを怠らないことも、未知の脆弱性から身を守るために重要です。

他の脆弱性（CSRF）との違い

クリックジャッキングは、しばしばCSRF（クロスサイト・リクエスト・フォージェリ）と混同されることがあります。

どちらも「ユーザーの意図に反してリクエストを送らせる」という点は共通していますが、攻撃のトリガーが異なります。

CSRFは、画像タグの読み込みやフォームの自動送信など、ユーザーが何も操作しなくても（あるいはページを開くだけで）攻撃が成立します。

一方でクリックジャッキングは、「ユーザーによる物理的なクリック操作」を必要とするのが大きな違いです。

対策方法も異なるため、それぞれの脆弱性に対して個別の対応が必要であることを理解しておきましょう。

まとめ

クリックジャッキングは、Webサイトの透明なレイヤーを悪用し、ユーザーの視覚を欺いて意図しない操作を強制する極めて巧妙な攻撃手法です。

ユーザー側でこれを見抜くことは非常に困難であるため、Webサイトを提供・運営する側が責任を持って対策を講じることが何よりも重要となります。

具体的には、X-Frame-OptionsヘッダーやContent Security Policy (CSP)を適切に設定し、第三者のサイトによるiframeの悪用を確実に防ぐようにしましょう。

セキュリティ対策は一度行えば終わりではなく、新しい攻撃手法や技術の進化に合わせて継続的に見直していく必要があります。

本記事で紹介した内容を参考に、自社のサイトやサービスがクリックジャッキングの脅威にさらされていないか、今一度確認してみてください。