「分かりそう」で「分からない」でも「分かった」気になれるIT用語辞典

実際には違いますが、イメージは「クリック」＋「ジャッキング」＋「攻撃」で「クリックジャッキング攻撃」です。



クリックはマウスのボタンを「ぽちっ」っと押すことね。



ジャッキングは、ここでは「乗っ取り」と解釈してください。
英語の「ハイジャック」を省略して「ジャック」それに「ing」を付けて「ジャッキング」でしょう。



「攻撃」は「攻撃」で分かりますよね。

単純にくっつけると

マウスのボタンを「ぽちっ」としたときの動作を乗っ取る攻撃

がクリックジャッキング攻撃です。

実際には

ホームページ上の本人が意図していないところをクリックさせる

のがクリックジャッキング攻撃です。



本人が意図していないところをクリックさせることで、クリックしたときの動作が本人の意図したものとは変わります。
悪い人が意図した動作が実行されてしまいます。
これは「クリックしたときの動作を乗っ取った」と言えるでしょう。

どうでもいい注意点として「click jacking（クリック・ジャッキング）」では ありません。
「clickjacking（クリックジャッキング）」です。

英語の「jack」の意味を調べると「乗っ取り」のような意味はないのですね。
諸説はあるようですが、おっちょこちょいの日本人が「ハイジャック」を

「ハイ（high：高い）」＋「ジャック（乗っ取り）」 ＝ 飛行機の乗っ取り

と解釈してしまい、それがもとで「バスジャック」や「シージャック」のような用語が生まれたようです。

「クリックジャッキング」も、それと同じイメージです。
「クリックを乗っ取る」的な意図で「クリックジャッキング」という名前を付けたのだと思います。

そんな、どうでもいいウンチクを披露したところで、クリックジャッキング攻撃の例を見てみましょう。

例えば、そうですね。

貧乏人のピヨ太君がホームページを作りました。
ホームページには「ピヨ太に100万円振り込む」ボタンが付いています。
このボタンをポチっと押すと、不思議な力によって、ポチっと押した人の貯金から100万円がピヨ太君に振り込まれます。



みんながポチポチしてくれたら、ピヨ太君はお金持ちですね。
とはいえ、普通に考えれば誰も押してくれないでしょう。

そこでピヨ太君は妙案を考えました。

まず「ピヨ太に100万円振り込む」ボタンが付いているページを透明にします。
「『ピヨ太に100万円振り込む』ボタンが付いているページ」と書くのは長ったらしいので、以降、このページは「振り込みページ」と呼びます。

ピヨ太君は「振り込みページ」を透明にしました。



次に「ケーキをあげるよ。欲しい人は押してね」ボタンを付けたページを用意します。
このページも「ケーキあげるよページ」と呼びます。

ピヨ太君は「ケーキあげるよページ」を用意しました。
「ケーキあげるよページ」は、おとりページです。
獲物をおびき寄せるためのページです。



これでピヨ太君の手元には

１．透明にした振り込みページ
２．ケーキあげるよページ

の2つがあります。

ピヨ太君は、ボタンの位置が重なるように気を付けながら「ケーキあげるよページ」の上に「透明にした振り込みページ」を重ねました。



そして、このページを公開しました。



おっと、ピヨ子さんが公開されたページを見つけたようです。
このとき、ピヨ子さんに見えているのは「ケーキあげるよページ」です。
「透明にした振り込みページ」は見えていません。



ピヨ子さんはケーキが大好きです。
早速「ケーキあげるよページ」の「ケーキをあげるよ。欲しい人は押してね」ボタンを押しました。



……が、残念でした。

実際に押されたのは「ケーキあげるよページ」の上に重ねられた「透明にした振り込みページ」の「ピヨ太に100万円振り込む」ボタンです。



不思議な力でピヨ子さんの貯金から100万円がピヨ太君に振り込まれました。
なんてこったいっ。



ピヨ子さんは「ケーキをあげるよ。欲しい人は押してね」ボタンを押したつもりです。
ですが、実際には「ピヨ太に100万円振り込む」ボタンが押されました。



このような

ホームページを見た人が「よーし！ここをポチッと押すぞ～！」と思って押したところとは別のところが押されるようにする悪いこと

がクリックジャッキング攻撃です。
実際にポチっと押されるところには、コンピュータの設定を変えるような指示だったり、変なプログラムを動かすような指示だったり、悪い人が喜びそうな指示が書いてあります。

ちょっと小難しい表現を使うと

クリック位置を誤認させることで任意の場所をクリックさせ、特定の動作を実行させる行為

です。