「透明な罠」からユーザーを守れ！クリックジャッキングの仕組みと今すぐできる防衛術
こんにちは！セキュリティの世界へようこそ。
日々、コードを書いたりインフラを整えたりしていると、「機能さえ動けばセキュリティなんて後回し…」なんて思ってしまうこと、ありますよね。でも、ちょっと待ってください。あなたが作ったその素晴らしいサイトが、「ユーザーを騙すための舞台」に利用されてしまったらどうしますか？
今回は、目に見えないほど巧妙な罠「クリックジャッキング」について、家の防犯に例えながら、泥臭い現場の知見を交えて解説していきます。
—
1. クリックジャッキングって、一体なに？
クリックジャッキングを一言で言うと、「ユーザーにボタンを押させているようで、実は裏で全く別の操作をさせている攻撃」です。
身近な例えで考えてみましょう
あなたの家（Webサイト）には、立派な玄関（UI）がありますよね。あなたは「お客様」として、その玄関のインターホンを押そうと近づきます。
ところが、攻撃者はその玄関の前に、「中が透けて見える、ものすごく薄い透明なガラス」を一枚置きます。そして、そのガラスの向こう側に「賞金プレゼント！今すぐクリック！」なんていう魅力的なボタンを配置するんです。
あなたは賞金目当てにそのボタンを押したつもりですが、実際にはその下の、あなたには見えていない「あなたの家の玄関の鍵を解錠するボタン」を押しちゃっている……。これがクリックジャッキングの恐ろしい仕組みです。
2. なぜそんなことが可能なのか？（攻撃のメカニズム）
この攻撃の主役は