လွယ်လွယ်ပြောရရင် Clickjacking ဆိုတာ ကိုယ်မြင်နေရတဲ့ Button တစ်ခုကို နှိပ်လိုက်ပေမယ့်၊ တကယ်က အောက်မှာ ဝှက်ထားတဲ့ တခြား Button တစ်ခုကို နှိပ်မိသွားတဲ့ တိုက်ခိုက်နည်းပါ။ မျက်စိကိုလိမ်ပြီး Click ကို ခိုးတဲ့နည်းလို့ ပြောလို့ရတယ်။
ကျွန်တော် ဒါကို ပထမဆုံး သိတုန်းက တွေးမိတာက “ဟာ၊ ဒါက မှော်ဆရာရဲ့ လက်စွဲပဲ” ဆိုတာပဲ။ ပရိသတ်က ဘယ်ဘက်ကို ကြည့်နေတဲ့အချိန်မှာ ညာဘက်မှာ လှည့်ကွက်လုပ်နေတာမျိုး။ Clickjacking လည်း အတူတူပဲ — ကိုယ်က တစ်နေရာကို ကြည့်နေပေမယ့် တကယ်ဖြစ်နေတာက တခြားတစ်နေရာ။
ဘယ်လို အလုပ်လုပ်တာလဲ?
Clickjacking ရဲ့ အဓိက လက်နက်က iframe ဆိုတဲ့ HTML အစိတ်အပိုင်းပါ။ တိုက်ခိုက်သူက တကယ့် Website တစ်ခုကို iframe ထဲမှာ ထည့်ထားပြီး၊ အပေါ်ကနေ အလှဆင်ထားတဲ့ စာမျက်နှာတစ်ခုနဲ့ ဖုံးထားတယ်။ iframe ကို အကြည်ရောင် (transparent) ဖြစ်အောင် လုပ်ထားတော့ ကိုယ်က မြင်ရတာက အပေါ်က စာမျက်နှာပဲ။ ဒါပေမယ့် ကိုယ် Click လုပ်လိုက်တဲ့နေရာမှာ တကယ်ရှိနေတာက အောက်က Website ရဲ့ Button ပဲ။
ဥပမာ အဖြစ်အများဆုံးပုံစံက ဒီလိုပါ။
ကိုယ်က “ဆုရရှိသူ ဖြစ်ကြောင်း စစ်ဆေးရန် ဒီမှာ နှိပ်ပါ” ဆိုတဲ့ ခလုတ်တစ်ခုကို မြင်တယ်။
ကိုယ်က အဲဒီ ခလုတ်ကို နှိပ်လိုက်တယ်။
ဒါပေမယ့် အဲဒီနေရာရဲ့ အောက်မှာ Facebook ရဲ့ Like ခလုတ်၊ ဒါမှမဟုတ် ငွေလွှဲတဲ့ အတည်ပြုခလုတ်က ဝှက်ထားတယ်။
ရလဒ်ကတော့ ကိုယ်မသိလိုက်ဘဲ Page တစ်ခုကို Like လုပ်မိတာ၊ ဒါမှမဟုတ် ငွေလွှဲတာကို အတည်ပြုမိတာ ဖြစ်သွားတယ်။
အဆိုးဆုံးက ကိုယ်က ဘာဖြစ်သွားမှန်း ချက်ချင်းမသိတာပဲ။ Page က ပုံမှန်အတိုင်းပဲ ပေါ်နေတော့ ကိုယ်က “အော်၊ ဘာမှမဖြစ်ဘူး” လို့ ထင်ပြီး ထွက်သွားတယ်။
Clickjacking နဲ့ ဘာတွေ လုပ်လို့ရလဲ?
တိုက်ခိုက်သူတွေ ဒီနည်းနဲ့ လုပ်နိုင်တာတွေက ထင်တာထက် များတယ်။
Social Media မှာ ကိုယ်မသိဘဲ Like, Share, Follow လုပ်ခိုင်းတာ — အရင်က Facebook Likejacking ဆိုပြီး နာမည်ကြီးခဲ့တယ်။
Account Setting တွေကို ပြောင်းခိုင်းတာ — Email ပြောင်းတာ၊ Password ပြောင်းတာလို အရေးကြီးတဲ့ ခလုတ်တွေကို ဝှက်ထားပြီး နှိပ်ခိုင်းတာ။
Webcam, Microphone ခွင့်ပြုချက်ကို ခိုးယူတာ — Browser က “Allow” ဆိုတဲ့ ခလုတ်ပေါ်လာတဲ့နေရာမှာ အပေါ်ကနေ ဖုံးပြီး နှိပ်ခိုင်းတာ။
ငွေလွှဲတာ၊ ဝယ်ယူတာကို အတည်ပြုခိုင်းတာ — ဒါက အရှားပါးဆုံးပေမယ့် အန္တရာယ်အများဆုံးပဲ။
ကိုယ့်ဘက်က ဘယ်လို ကာကွယ်မလဲ?
ဒီသတင်းကောင်းကတော့ Clickjacking ကို Website ဘက်က ကာကွယ်လို့ရသလို၊ ကိုယ့်ဘက်ကလည်း သတိထားလို့ရတာပဲ။
Website တွေ သုံးတဲ့ ကာကွယ်နည်းကတော့ X-Frame-Options နဲ့ Content-Security-Policy: frame-ancestors ဆိုတဲ့ Header တွေပဲ။ ဒီ Header တွေက “ကျွန်တော့် Site ကို တခြား Site ရဲ့ iframe ထဲမှာ ထည့်ခွင့် မပြုဘူး” လို့ Browser ကို ပြောထားတာ။ ခေတ်မီ Website အများစုက ဒါကို သုံးထားပြီးသား။
ကိုယ်တိုင် သုံးစွဲသူအနေနဲ့ သတိထားရမှာတွေကတော့
“နှိပ်လိုက်ရင် ဆုရမယ်” “ဗီဒီယိုကြည့်ဖို့ ဒီမှာ နှိပ်ပါ” ဆိုတဲ့ Page တွေကို သံသယထားပါ — ဒီလို Page တွေက Clickjacking အတွက် အသုံးအများဆုံး မျက်နှာဖုံးပဲ။
ကိုယ်မသိတဲ့ Link ကို ဖွင့်ပြီးရင် Browser ရဲ့ Address Bar ကို စစ်ပါ — ကိုယ်ထင်ထားတဲ့ Site မဟုတ်ဘဲ တခြား Domain ဖြစ်နေရင် ချက်ချင်းပိတ်ပါ။
Browser ကို Update အမြဲလုပ်ထားပါ — Update အသစ်တွေမှာ Clickjacking ကာကွယ်တဲ့ နည်းတွေ ပိုကောင်းလာတယ်။
Social Media မှာ ကိုယ်မလုပ်ခဲ့တဲ့ Like, Share တွေ တွေ့ရင် Activity Log ကို စစ်ပါ — တစ်ခုခု မှားနေပြီဆိုရင် Password ပြောင်းပြီး Session တွေကို ပြန်ထွက်လိုက်ပါ။
Extension တွေ သွင်းတဲ့အခါ ယုံကြည်ရတဲ့ Source ကနေပဲ သွင်းပါ — Extension အတုတွေက Clickjacking ကို ကူပေးနိုင်တယ်။
တစ်ခုမှတ်ထားဖို့
Clickjacking ရဲ့ ကြောက်စရာအကောင်းဆုံးအချက်က သူက ကိုယ့် Password ကို ခိုးတာမဟုတ်ဘူး၊ ကိုယ့် Click ကိုယ်တိုင်ကို ခိုးတာပဲ။ ကိုယ်က ကိုယ်တိုင် နှိပ်လိုက်တာမို့ Website ဘက်ကလည်း “သုံးစွဲသူကိုယ်တိုင် လုပ်တာပဲ” လို့ မြင်တယ်။
ဒါကြောင့် Internet မှာ ခလုတ်တစ်ခုကို နှိပ်တော့မယ်ဆိုရင် တစ်စက္ကန့်လောက် ရပ်ပြီး “ဒါ တကယ်ပဲ ငါနှိပ်ချင်တဲ့ ခလုတ်လား” လို့ တွေးကြည့်ပါ။ အဲဒီတစ်စက္ကန့်က ကိုယ့်ကို ဒုက္ခများစွာကနေ ကယ်နိုင်တယ်။ 🙂
