Vad är clickjacking?

Få appar är lika säkra som bankernas programvara på mobila enheter, men dessa appar kan ändå ge cyberbrottslingar tillgång till din mest värdefulla och känsliga information, t.ex. inloggnings- och kontaktuppgifter.

Clickjacking gör stölden av känslig, privat information lika enkel som att logga in på en app. Skadlig programvara som Svpeng visar hur effektiv – och utbredd – den här typen av brottslighet är.

Clickjacking ger en hackare möjlighet att lägga in ett osynligt gränssnittslager mellan ditt finger och det du ser på din skärm.

Du kanske tror att du tittar på bankens skärm när du har skrivit in ditt ID och lösenord, men vad du faktiskt ser är en kopia av samma skärm som överlappar bankens riktiga information.

När du anger din privata information skickas dina data inte till banken för verifiering, utan till filservrar som cyberbrottslingarna upprätthåller för att stjäla kontoinformation.

Clickjacking i vinstsyfte

I juli 2017 skrev Kaspersky Labs Roman Unuchek, en ansvarig skadeanalytiker, en rapport på SecureList-bloggen om att den skadliga programvaran Svpeng ”blivit viral”. Svpeng dök upp första gången 2013, för att stjäla bankuppgifter från Androidanvändare. När det laddades ner till en mobil enhet clickjackade det användardata, men problemet går mycket djupare än så.

När den skadliga programvaran får tillgång till administratörsbehörighet kan den välja vilka skärmar den ska använda, skicka och ta emot SMS, ringa telefonsamtal och läsa kontakter.

Den skadliga programvaran skickar sedan skärmdumpar och annat kapat material från enheten till en C&C-server (command-and-control) som drivs av hackare. Det kan omfatta kontakter, installerade appar, samtalsloggar och SMS – vilket är särskilt problematiskt eftersom bankerna brukar skicka verifieringskoder till användare via SMS.

På en enda vecka spreds Svpeng i 23 länder, enligt Unuchek.

Clickjacking sker på nästan alla plattformar

Även om Androidtelefoner verkar särskilt sårbara för clickjacking så kan det ske på alla apparater med anslutning till internet: mobila enheter, surfplattor, stationära datorer och bärbara datorer.

Under mitten av 2016 tog Google bort annonser med transparenta lager som lurade miljontals användare att klicka på länkar som tog dem till oönskade webbplatser. I många fall innehöll de här webbplatserna skadlig programvara, annonsprogram och även spionprogram som hämtades och installerades, ibland utan användarens vetskap.

Skrupelfria företag kan använda clickjackade sidor för att utlösa en-klicks-beställningar från Amazon. På plattformar för sociala medier, som Facebook, skapar de konstgjorda ”gilla”-markeringar (så kallad ”likejacking”), eller rekryterar ovetande följare på Twitter. Clickjackers kan även hämta skadlig programvara som tvingar användare att på ett bedrägligt sätt klicka på osynliga annonser, enligt MarketingLand.com.

Hur du kan skydda dig mot clickjacking

Ett av de vanligaste sätten att få clickjackingprogram på en enhet är genom riktade e-postmeddelanden. I en värld där hackare har stulit miljarder kundkonton med kontaktuppgifter kostar det tyvärr inte många ören per konto för cyberbrottslingar att köpa den här informationen. Sannolikheten att cyberbrottslingar har åtminstone ditt e-postkonto på fil tillsammans med tillhörande bank är hög.

Se upp för e-postmeddelanden i din inkorg som påstår sig röra ett brådskande ärende som kräver din uppmärksamhet. Sådana e-postmeddelanden vill att du klickar på en länk och den länken kan ta dig till en webbplats som ser ut exakt som din internetbank eller en annan officiell webbplats, för att lura dig att ladda ner den senaste versionen av organisationens app eller fylla i profilinformation.

Om målet är att få dig att hämta en app är den troligen skadlig programvara som samlar in och stjäl alla dina inloggningsuppgifter. I andra fall kan själva webbplatsen vara källan till skadlig programvara som smyger sig in på din enhet. Oavsett hur det sker så presenterar den skadliga programvaran falska inmatningslager för dig att fylla i.

Det är också viktigt att undvika att klicka på annonser i Google eller på Facebook som erbjuder saker som är för bra för att vara sant eller som marknadsför nyheter eller artiklar som verkar konstiga. När du klickar på sådana länkar kan de i vissa fall ta dig till en webbplats som hämtar skadlig clickjackingprogramvara till din dator. Leta i stället reda på nyheten på en alternativ kanal, till exempel en ansedd tidning som funnits ett tag. Om nyheten är riktig är det inte svårt att hitta den på en riktig kanal.

Hämta alltid appar till enheter via auktoriserade app-bibliotek. De här biblioteken har både programvara och personal som arbetar med att sålla bort skadlig programvara och lämna kvar lämpligt innehåll. Det är inte alltid lätt att upptäcka falska eller osynliga gränssnitt, men en sund dos skepsis vid all hantering av material på internet kan bidra till en bättre användarupplevelse.

Relaterade artiklar:

Relaterade produkter: