Pembajakan klik

Penyemuan tekan atau clickjacking (diklasifikasikan sebagai serangan ganti rugi antarmuka pengguna atau ganti rugi UI ) adalah teknik berbahaya untuk mengelabui pengguna agar mengklik sesuatu yang berbeda dari apa yang dirasakan pengguna, sehingga berpotensi mengungkapkan informasi rahasia atau membiarkan orang lain mengambil kendali komputer mereka saat mengklik tampaknya objek yang tidak berbahaya, termasuk halaman web . ^{[1] [2] [3] [4] [5]}

Dalam serangan penyemuan tekan, pengguna disajikan dengan antarmuka palsu, di mana masukan mereka diterapkan pada sesuatu yang tidak dapat mereka lihat

Penyemuan tekan adalah contoh dari masalah deputi yang membingungkan, di mana komputer tertipu untuk menyalahgunakan otoritasnya. ^[6]

Keterangan

Salah satu bentuk penyemuan tekan memanfaatkan kerentanan yang ada di aplikasi atau halaman web untuk memungkinkan penyerang memanipulasi komputer pengguna untuk keuntungan mereka sendiri.

Misalnya, laman yang diklik mengelabui pengguna agar melakukan tindakan yang tidak diinginkan dengan mengklik tautan tersembunyi. Pada halaman yang diklik, penyerang memuat halaman lain di atas halaman asli dalam lapisan transparan untuk mengelabui pengguna agar mengambil tindakan, yang hasilnya tidak akan sama seperti yang diharapkan pengguna. Pengguna yang tidak curiga berpikir bahwa mereka mengklik tombol yang terlihat, padahal mereka sebenarnya melakukan tindakan pada halaman yang tidak terlihat, mengklik tombol halaman di bawah lapisan. Halaman tersembunyi mungkin merupakan halaman autentikasi; oleh karena itu, penyerang dapat mengelabui pengguna agar melakukan tindakan yang tidak pernah diinginkan pengguna. Tidak ada cara untuk melacak tindakan tersebut ke penyerang nanti, karena pengguna akan benar-benar diautentikasi di halaman tersembunyi.

Kategori penyemuan tekan

• Klasik: sebagian besar berfungsi melalui browser web ^[7]
• Likejacking: memanfaatkan kemampuan media sosial Facebook ^{[8] [9]}
• Bersarang: clickjacking yang disesuaikan untuk memengaruhi Google+ ^[10]
• Cursorjacking: memanipulasi tampilan dan lokasi kursor ^[7]
• MouseJacking : menyuntikkan input keyboard atau mouse melalui tautan RF jarak jauh ^[11]
• Browserless: tidak menggunakan browser ^[7]
• Cookiejacking : memperoleh cookie dari browser ^{[7] [12]}
• Filejacking: mampu mengatur perangkat yang terpengaruh sebagai server file ^{[7] [13] [14]}
• Serangan pengelola kata sandi: clickjacking yang memanfaatkan kerentanan dalam kemampuan pengisian otomatis browser ^[7]