情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成28年度春期 午前 問22: クリックジャッキング攻撃に該当するものはどれか。

正解

イ. Web サイト A のコンテンツ上に透明化した標的サイト B のコンテンツを配置し，Web サイト A 上の操作に見せかけて標的サイト B 上で操作させる。

正答率 68.2%（22人中 15人が正解）

問題の解説

クリックジャッキングは，攻撃者が用意したページの上に標的サイトのコンテンツを透明化して重ね合わせ，利用者に見えているページを操作させているように見せかけて，実際には透明な標的サイト上のボタンなどをクリックさせる攻撃である。透明化した標的サイトを重ねて意図しない操作をさせる過程を述べたイが正解である。

選択肢ごとの解説

• ア不正リクエストでレスポンスを2つに分割させキャッシュを偽造するのは HTTP レスポンス分割（ヘッダインジェクション）攻撃の説明である。
• イ透明化した標的サイトを重ねて表示上の操作を実際には標的サイトで行わせるのがクリックジャッキングであり，正しい。
• ウ非活性タブの中身を偽ログインページに書き換えて操作させるのはタブナビング（tabnabbing）と呼ばれる手口であり，クリックジャッキングとは異なる。
• エブラウザ設定を変更して閲覧履歴やパスワードを盗み出す行為はクリックジャッキングの定義には当てはまらない。