Clickjacking es un ataque web que engaña al usuario para que haga clic en elementos ocultos de otro sitio, superpuestos mediante iframes transparentes, ejecutando acciones que no pretendía realizar.
El clickjacking (o UI redressing) consiste en cargar una página legítima dentro de un Código: text
<iframe>
invisible o disfrazado, superpuesto a una página señuelo controlada por el atacante. El usuario cree que hace clic en un botón inofensivo, pero en realidad interactúa con el sitio legítimo, donde suele tener la sesión iniciada. Existen variantes como el likejacking (dar «me gusta» sin querer), el cursorjacking (desplazar la posición aparente del cursor) y ataques de arrastrar y soltar para filtrar datos.
🧪Ejemplo
Una página promete un premio con un botón «Reclamar», pero debajo hay un iframe con opacidad cero que carga el panel de configuración de una red social; al hacer clic, la víctima cambia sin saberlo la privacidad de su perfil. El truco se basa en estilos como Código: text
) para controlar quién puede incrustar tus páginas.
Agregar Código: text
X-Frame-Options: DENY
o Código: text
SAMEORIGIN
como respaldo para navegadores antiguos.
Usar cookies con el atributo Código: text
SameSite
para que la sesión no viaje en contextos incrustados de terceros.
Pedir una confirmación adicional (contraseña, reautenticación) en acciones sensibles como cambiar el correo o borrar la cuenta.
Como usuario, mantener el navegador actualizado y desconfiar de páginas que piden clics insistentes por premios o verificaciones.
⚠Para tener en cuenta
Los scripts de frame busting en JavaScript solían usarse como defensa, pero se pueden eludir (por ejemplo, con el atributo Código: text
sandbox
del iframe), así que no reemplazan a las cabeceras HTTP. En programas de bug bounty, un clickjacking sobre páginas sin acciones sensibles suele considerarse de bajo impacto.
Redactado con el asistente Underc0de IA. Actualizado el 10/11/2026. ¿Ves un error o querés sumar algo? Contanos en el foro.
