الاختراق الالكتروني هو تهديد أمني قد يتعرض له المستخدم من خلال البرامج الخبيثة التي تشق طريقها إلى الأنظمة الحاسوبية أو المواقع الإلكترونية الخبيثة، وهدفها في معظم الأحيان الوصول غير المشروع إلى المعلومات الحساسة أو التحكم في الأنظمة بشكل غير مصرح به.

يمكن أن يحدث الاختراق عبر عدد من الوسائل والطرق، من بينها هجمات الـClickjacking . وهي هجمات تهدف إلى خداع المستخدمين وإقناعهم بالنقر على روابط أو أزرار معيّنة مخفيّة وخبيثة على صفحة ويب، ويتمّ ذلك عبر استغلال الإطارات (Framing)  في لغةHTML .

 

كيف يحدث الهجوم في أرض الواقع؟

إليكم سيناريو عام يستعرض الخطوات التي تؤدي إلى حدوث هجوم الـ Clickjacking:

– يبدأ المهاجم بإنشاء صفحة ويب مزيفة، أو يقوم باختطاف إطارات iframe موقع شرعي مشهور.

– عندما يقوم المستخدم من جهته بزيارة الموقع المصاب أو الصفحة المزيفة، ستظهر أمامه أزرار جاذبة للاهتمام مثل “العب الآن” أو “اربح رحلة مجانية” أو غيره.

– سيحاول المستخدم النقر على تلك الأزرار. ولكن بسبب اختطاف إطارات الموقع من قبل المهاجمين، سيتم تحويل النقر الفعلي للمستخدم إلى روابط أخرى بدلاً من الزر الفعلي الذي يعتقد أنه ينقر عليه.

– هنا، قد يتم تنفيذ العديد من الإجراءات الضارة عن غير قصد، مثل تحويل الأموال إلى الهاكر أو حذف حساب المستخدم أو أي إجراء آخر خبيث ومضرّ.

– في كثير من الحالات، لا يمكن تتبع مصدر هذه الهجمات وصولاً إلى مجرمي الإنترنت لأن المستخدم قد ضغط بنفسه ووافق من دون علمه على الإجراء.

 

سبل الوقاية من الـ Clickjacking

تشمل إجراءات الوقاية من هجمات الـ Clickjacking تقييد إمكانية اختطاف الإطارات (Framing) في مواقع الويب. لتحقيق ذلك، يمكن استخدام تقنيات الوقاية والحماية من جانب العميل ومن جانب الخادم.

 

الوقاية من جانب العميل:

تشمل تقنيات الوقاية من جانب العميل تدابير يمكن للمستخدم اتخاذها على أجهزته الخاصة أو في صفحات الويب التي يستخدمها. ومن الأفضل أن تترافق هذه مع تقنيات الوقاية الأخرى من جانب الخادم.

– برامج كسر الإطارات (Frame Busting Scripts)

توضع هذه البرامج النصية داخل مستعرض الويب لمنع إدخال الإطارات غير المرغوب فيها. يمكن للبرامج النصية الناجحة تحقيق العديد من الأهداف مثل جعل الإطارات غير المرئية غير قابلة للعرض ومنع النقر عليها والحماية ضد محاولات النقر غير المصرح به وضمان عدم تغطية النافذة المقصودة بإطار غير مرئي.

ولكن تجدر الإشارة إلى أنه يمكن للهاكرز تحييد تلك البرامج بسهولة إذا كان لديهم معرفة بلغات HTML و JavaScript.

– ملحقات مكافحة النقر

يمكن أن تساعد إضافات المتصفح في منع هجمات الـ Clickjacking، ولكنها قد تعطل بعض الوظائف مثل جافا سكريبت وتؤثر سلباً على تجربة المستخدم خالا تصفح صفحة الويب. فعلى سبيل المثال، قد تمنع أدوات حظر جافا سكريبت من وصول المستخدم إلى مضمون مواقع معروفة مثل YouTube و Facebook.

وإذا قرر المستخدم تعطيل جافا سكريبت باستخدام ملحق منع النقر، يجب عليه البحث عن خيارات أخرى آمنة أو استخدام مصادر موثوقة مثل ScriptSafe أو NoScript.

 

الوقاية من جانب الخادم:

– تحديث البرامج والأنظمة: يجب على الشركات وأصحاب المواقع تحديث برامجهم وأنظمتهم بانتظام لتسوية الثغرات الأمنية المعروفة وتعزيز الأمان العام للموقع.

– تقييد إمكانية اختطاف الإطارات: يمكن لأصحاب المواقع تطبيق تقنيات تحد من إمكانية اختطاف الإطارات في صفحات الويب، مثل استخدام خاصية X-Frame-Options في رأس الصفحات لتعطيل التأطير أو تحديد مواقع معينة مسموح بها فقط بالتأطير.

– استخدام الرموز العشوائية(CSRF Tokens) : يمكن لأصحاب المواقع استخدام الرموز العشوائية لمنع هجمات الـ Clickjacking. تعتبر الرموز العشوائية جزءًا من طريقة مكافحة هجمات تزوير الطلبات المتقدمة (CSRF)، حيث يتم تضمين الرمز العشوائي في النماذج والطلبات، ويتحقق من صحته قبل تنفيذ الإجراء المطلوب.

– برامج الحماية: يجب على الشركات وأصحاب المواقع استخدام أدوات الكشف عن الاختراق ورصد الأنشطة غير المشروعة للكشف المبكر عن هجمات الـ Clickjacking واتخاذ التدابير اللازمة لحماية النظام والمستخدمين.

 

بشكل عام، تتطلب الوقاية من هجمات الاختراق نهجًا متعدد الطبقات يجمع بين تدابير الأمان من جانب العميل وتدابير موازية من جانب الخادم، مع التحديث الدوري للبرامج والأنظمة وتطبيق أفضل الممارسات في مجال الأمن السيبراني، على مستوى الشركات والمواقع الإلكترونية.