Clickjacking

hacking

Définition

Le Clickjacking est une technique d'attaque web consistant à superposer un iframe invisible ou semi-transparent au-dessus d'une page légitime pour piéger le clic de l'utilisateur. La victime croit interagir avec un bouton, un lien ou un formulaire visible, alors qu'elle valide en réalité une action sur le site tiers chargé dans l'iframe caché : like Facebook forcé, changement de paramètre de compte, activation de webcam, ou transfert de fonds. L'attaquant aligne précisément les zones cliquables des deux couches via CSS (opacity, z-index, position absolute) pour que le geste de l'utilisateur produise l'effet voulu sur la page cible. Les variantes incluent le cursorjacking, qui détourne l'affichage du curseur, et le likejacking sur les réseaux sociaux. La contre-mesure principale côté serveur est l'en-tête HTTP X-Frame-Options (DENY ou SAMEORIGIN), aujourd'hui largement remplacé par la directive frame-ancestors de la Content-Security-Policy, plus flexible et supportée par tous les navigateurs modernes. Des techniques de frame-busting en JavaScript existent mais restent contournables. Cette faille figure dans le Top 10 OWASP historique et reste testée systématiquement en audit d'application web, notamment sur les interfaces d'administration et les formulaires sensibles où une action involontaire aurait un impact fort.

Description

Le clickjacking superpose un iframe invisible sur un élément d'interface légitime pour amener l'utilisateur à cliquer involontairement sur une action malveillante. La victime croit interagir avec une page normale tout en validant une opération non désirée.

Exploitation

L'attaquant crée une page piège avec un iframe transparent positionné sur un bouton sensible (validation de paiement, autorisation OAuth). La victime est attirée vers cette page via du phishing ou une publicité malveillante.

Défense

Déployer l'en-tête X-Frame-Options: DENY ou SAMEORIGIN sur toutes les pages sensibles
Utiliser la directive CSP frame-ancestors pour contrôler finement les contextes d'intégration
Implémenter des confirmations d'action explicites pour les opérations sensibles

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis