Qué es y cómo protegerse del Clickjacking

Cada vez son más las noticias que hace referencia a los ataques informáticos conocidos como clickjacking, a través de los cuales los hackers, mediante la utilización de páginas web y dominios de internet falsos, estafan a aquellos que caen en su red de engaño millones de euros, ofreciendo ventas fraudulentas, así como obteniendo información personal sensible, como los números de sus tarjetas de crédito. Desafortunadamente, este tipo de ataques informáticos son muy difíciles de detectar ya que los que elaboran este tipo de estafas son auténticos expertos. No obstante, últimamente se están haciendo grandes avances en la localización y posterior arresto de aquellos que utilizan estás técnicas para estafar a la gente. De hecho, por ejemplo, cada vez son más las noticias informando sobre la caída de diferentes redes de venta y utilización de tarjetas de crédito duplicadas.

¿Cómo funciona el clickjacking?

El click-jacking consiste en la creación de un botón o enlace en una página web que al ser pulsado realiza una acción que no es la que indica que va a hacer. Por ejemplo, un enlace puede indicar que nos lleva a una conocida tienda de electrodomésticos online, pero en lugar de hacer eso, lo que hace es dirigirnos a una tienda de electrodomésticos falsa que utiliza un nombre de dominio parecido y desde la que, si decidimos comprar algo, los hackers obtendrán nuestros datos personales. Se trata del arte de utilizar páginas falsas para recolectar información que después será utilizada para defraudarnos.

Estas son algunas de las técnicas que utilizan los hackers para realizar click jacking:

• Forzar seguidores no solicitados en Twitter u otras redes sociales.
• Crear automáticamente actualizaciones de estado compartiendo enlaces en redes sociales como Facebook o Tuenti.
• Cambiar la configuración de cuentas privadas en redes sociales haciéndolas públicas y visibles a todo el mundo.
• Engañar a los usuarios de manera que se active su cámara y el micrófono de su ordenador a través de una ventana emergente flash.
• Los hackers también se aprovechan de aquellas campañas publicitarias que pagan por cada clic o por cada impresión del anuncio en sus páginas web. Para forzar clics e impresiones utilizan, entre otros, el malware conocido como DnsChanger a través del cual los usuarios son redirigidos hacia redes de anuncios infectadas, haciendo que los hackers ganen dinero sin merecerlo y abriendo los ordenadores a posibles infecciones todavía más serias.

Este tipo de ataques utilizan los navegadores de Internet para propagarse, motivo por el cual cualquier ordenador, independientemente del sistema operativo que utilicen, ya sea Windows, Mac, Linux o UNIX, pueden terminar infectados. Además, en muchas ocasiones, el software que se instala en los ordenadores después de pulsar sobre un botón o enlace infectado, también evita que nuestro ordenador se conecte a páginas de antivirus que lo removerían, de manera que los usuarios inexpertos o despistados tardan mucho tiempo en detectar la infección.

¿Cómo protegerse del clickjacking?

Los usuarios pueden realizar varias cosas para protegerse de los ataques de click-jacking. Los primero y más importante es estar atento y comprobar el tipo de páginas hacia las que nos dirige nuestro navegador de Internet cuando hacemos clic en un enlace, asegurándonos de que dichas páginas están dentro del dominio en el que deben estar. Por ejemplo, si estamos comprando ropa en Guess, deberemos comprobar que la URL de la página es algo como www.guess.eu. En este sentido deberemos ser muy cuidadosos, porque si hemos sido infectados por clickjacking, la URL podría llegar a ser muy similar a la verdadera y ser bastante difícil detectar la diferencia si no se presta la atención suficiente.

También los navegadores de Internet permiten la instalación de add-ons que, aunque desactivan ciertas funcionalidades del mismo, hacen la navegación más segura. Por ejemplo, para el navegador Firefox existe uno muy conocido denominado NoScript que bloquea todos los programas o scripts que pueden ser potencialmente peligrosos. Su utilización hace la navegación más tediosa, ya que cada vez que, por ejemplo, queramos visualizar un vídeo, deberemos autorizar la ejecución del programa correspondiente, sin embargo, dicha navegación será más segura.

Otra medida fundamental es tener instalado en nuestro ordenador un buen antivirus debidamente actualizado que analice en tiempo real nuestra navegación por Internet.

¿Cómo proteger una página web del clickjacking?

Una manera de proteger a los usuarios de nuestra página web de posibles ataques de click-jacking es hacer uso de un JavaScript muy sencillo que lo que hace es detener cualquier contenido que sea mostrado dentro de un frame. El código que habilita esta opción es el siguiente:

<script type="text/javascript">
  If (top != self) top.location.replace(location);
</script>

Obviamente ya existen versiones mucho más complicadas de este código y si queréis algo más de información podéis echar un vistazo a esta página de la Wikipedia.

Utilizando este código JavaScript en nuestra página web, estaremos frustrando la mayoría de los intentos de clickjacking así como otros tipos de ataque que se basan en la utilización de frames dentro de una página web. No obstante, aunque este código hará nuestro sitio más seguro, no evitará completamente los posible problemas de clickjacking, siendo lo más recomendable alertar a nuestros usuarios de que tengan cuido y se muestren alerta ante tal posibilidad.

¿Qué hacer si sospechamos de haber sufrido clickjacking?

Si sospechamos que nuestro ordenador está bajo los efectos del malware tras haber sufrido un ataque de clickjacking, y nuestro antivirus no ha sido capaz de eliminarlo, aparte de que en algunos casos será conveniente denunciar el hecho en conocimiento de la policía o guardia civil, siempre resultará muy apropiado acudir con nuestro ordenador a un buen profesional que nos pueda garantizar la eliminación de dicho malware. Debemos ser conscientes de que después de haber caído en la trampa del clickjacking, los hackers pueden haber accedido a datos personales sensibles que podrán ser utilizados en actividades ilegales y llegar a causar verdaderos estragos en nuestras cuentas bancarias.