Doubleclickjacking: ¿Cómo funciona este nuevo ataque y de qué manera protegerse?

Desde la Redacción Hasta que caiga la Tiranía.-

Los ataques doubleclickjacking, que tomaron gran notoriedad a principios de 2025, están al asecho a tan solo dos clics. Son ataques que aprovechan los hackers para realizar acciones no deseadas, como autorizaciones de pago.

Funcionan insertando un elemento malicioso entre el primer y segundo clic, a menudo mediante un "iframe invisible"; que superpone un elemento sobre el botón para que el usuario interactúe sin poder verlo, ni darse cuenta del cambio.

A diferencia del clickjacking, que usa un solo clic, el doubleclickjacking es más complejo y puede eludir algunas protecciones de los navegadores, como el cambio de configuraciones de seguridad, la obtención de permisos API, autorizaciones de pago no consentidas y la instalación de malware. Operan al explotar vulnerabilidades en las páginas que se visitan.

ESET, compañía líder en detección proactiva de amenazas, analiza cómo se lleva a cabo este ataque, cuál es su objetivo, y de qué manera es posible protegerse.

“Los actores maliciosos no descansan a la hora de buscar nuevas formas de atacar a sus víctimas y el doubleclickjacking es una clara muestra de ello. Un ejemplo de este ataque se podría dar en una página legítima que propone realizar algún tipo de test, y que al momento de hacer clic en “del test, el sitio cambia de manera instantánea la interfaz, sin que lo notes, gracias a la técnica de “iframe invisible”, resalta una nota de prensa.

Sin darnos cuenta, debajo del cursor puede haber, por ejemplo, un botón oculto de “Confirmar”; en una página de inicio de sesión de una red social, entonces al hacer clic nuevamente creyendo que se continua en el test, en realidad se estará confirmando el acceso de un atacante a tu cuenta.”, señala Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

Este tipo de ataques puede realizarse perfectamente en sitios legítimos, sin la necesidad de llevar a la víctima a un sitio web falso. Así, el atacante logra evitar las defensas que existen contra el clickjacking, y sus acciones con fines maliciosos ocurren en páginas legítimas, pero que no están protegidas.

Diferencias entre doubleclickjacking y clickjacking:

El clickjacking es una técnica en la que el ciberatacante superpone una página web legítima con elementos invisibles, pueden ser botones o enlaces, para engañar al usuario y que haga clic en algo sin darse cuenta. Busca que el usuario haga clic en algo puntual sin quererlo y su objetivo es que la víctima crea que está tocando un botón inofensivo; en realidad activa otra cosa escondida debajo.

Mediante el clickjacking, por ejemplo, un usuario cree que está dando un “Me gusta”; a una foto, pero podría estar realizando una transferencia de dinero. Al tratarse de una técnica más “sencilla”, las medidas de seguridad suelen detectar y prevenir los intentos de clickjacking.

Mientras, el doubleclickjacking se vale de dos clics para consumar el ataque: el primero prepara la trampa, mientras que el segundo la hace efectiva. Es una técnica más compleja, puede eludir algunas de las protecciones que los navegadores implementan en contra ataques de un solo clic.

Por un lado, el actor malicioso puede engañar para que se apruebe un inicio de sesión en alguna red social y correo electrónico. Esto puede derivar en que se pierda acceso a esa cuenta, ya que pueden cambiar la contraseña, o que la utilicen para enviar mensajes a los contactos para obtener dinero o distribuir malware.

En cuanto a las medidas preventivas que pueden tomarse para reducir el riesgo de ser víctima de este tipo de ataque, desde ESET recomiendan:

- Mantener actualizados tanto los equipos como los navegadores. El doubleclickjacking es una técnica nueva que se aprovecha de vulnerabilidades en los sitios, por lo cual es posible que futuras actualizaciones corrijan estos fallos, para evitar puedan ser explotados por los cibercriminales.

- Estar alerta ante cualquier acción extraña que pueda suceder en un sitio web: botones que soliciten doble clic, captchas o ventanas emergentes. Prestar atención a los mensajes de confirmación, y evitar dar clics inmediatos en las ventanas emergentes que vayan apareciendo en la pantalla.

Para ver detalles de estos procedimientos delictivos: https://youtu.be/r7qpY74jtTw

Visitas : 54

Publicación : 02/04/2025 10:52 AM

Doubleclickjacking: ¿Cómo funciona este nuevo ataque y de qué manera protegerse?