İçindekiler

  1. Özet
  2. Giriş
  3. Clickjacking Nedir?
  4. Clickjacking Neden Yapılır?
  5. Clickjacking Nasıl Gerçekleştirilir?
  6. Uygulama Örnekleri
  7. Potansiyel Tehlikeler
  8. Clickjacking’ den Korunma Yöntemleri

    8.1. X-Frame-Options Kullanın

    8.2. Content Security Policy (CSP) Kullanın

    8.3. Frame Buster Kullanın

     8.4. Kullanıcıların Korunması

  9. Örnekler ve Gerçek Hayatta Karşılaşılan Vakalar

     9.1. Likejacking ve  Facebook “Like” Butonu Örneği

     9.2. Flash Oynatıcısı Güvenlik Açığı

     9.3. Twitter “Tweet” Butonu Örneği

  10. Hukuki Boyutlar ve Yasal İşlemler

    10.1. Siber Suçlar

     10.2. Veri Koruma ve Gizlilik Yasaları

     10.3. Ticari Dolandırıcılık Yasaları

  11. Sonuç
  12. Kaynakça

1. Özet:

Bu makalede, clickjacking saldırılarına odaklanarak, kullanıcıların tıklama veya etkileşimleri yoluyla yanıltılmasının nasıl gerçekleştiğini ve bu tür saldırılara karşı nasıl korunulabileceğini ele alacağız. İlk olarak, clickjacking’in ne olduğunu ve nasıl çalıştığını anlatacağız. Clickjacking, kullanıcıları yanıltarak gizlenmiş bir içeriğin üzerinde tıklama veya etkileşim yapmaya teşvik eden bir saldırı türüdür. Ardından, clickjacking saldırılarını önlemek için kullanılan endüstri standartlarını ve en iyi uygulamaları inceleyeceğiz. X-Frame-Options ve Content Security Policy gibi önlemler, clickjacking saldırılarına karşı etkili bir savunma sağlayabilir. Ayrıca, kullanıcıların dikkatli olması ve güvenilmeyen kaynaklardan gelen içeriğe şüpheyle yaklaşması da önemlidir. Makalenin sonunda, clickjacking saldırılarının hukuki boyutunu ve yasal işlemleri kısaca ele alacağız. Bu makale, kullanıcıların ve web geliştiricilerinin clickjacking saldırılarına karşı bilinçlenmelerine yardımcı olmayı ve güvenli bir çevrede gezinmelerini sağlamayı amaçlamaktadır.

2.Giriş:

Gelişen dijital dünyada, web uygulamalarının ve internet kullanımının artmasıyla birlikte güvenlik tehditleri de gün geçtikçe çeşitlenmekte ve karmaşık hale gelmektedir. Bu makalede, bu güvenlik tehditlerinden biri olan Clickjacking’i anlamak ve önlemek için alınabilecek çeşitli yöntemleri ele alacağız. Frame buster teknikleri, X-Frame-Options header kullanımı, Content Security Policy (CSP) kullanımı ve JavaScript temelli çözümler gibi yöntemler, clickjacking saldırılarına karşı koruma sağlamak için etkili olabilir. Ayrıca, clickjacking örneklerine ve gerçek hayatta karşılaşılan vakalara da değineceğiz.

Clickjacking’in hukuki boyutu da önemlidir. Yasal düzenlemeler, clickjacking saldırılarının önlenmesi ve saldırganların cezalandırılması için önemli bir araçtır. Makalemizde, clickjacking’in hukuki boyutunu ve ilgili yasal işlemleri inceleyerek, bu konuda farkındalık yaratmayı hedefliyoruz.

3. Clickjacking Nedir?

Clickjacking, kullanıcıların farkında olmadan kötü niyetli bir işlemi gerçekleştirmelerine neden olan bir web saldırısıdır. Saldırganlar, hedef web sayfası üzerine bir şeffaf veya gizli katman ekleyerek kullanıcıları yanıltır. Bu katman, kullanıcıyı yanıltıcı bir şekilde tıklamasını sağlar ve istenmeyen bir eylemi gerçekleştirir.

4. Clickjacking Neden Yapılır?

Clickjacking’in temel amacı, kullanıcının tıklama davranışını yanıltmak ve istenmeyen eylemleri gerçekleştirmesini sağlamaktır. Saldırganlar, kullanıcının ziyaret ettiği web sayfasını gizlice başka bir sayfa içine yerleştirerek tıklamaları yönlendirir veya görünmez düğmeler veya saydam katmanlar kullanarak kullanıcının tıklamasını tetikler. Kullanıcılar, tıklamak istedikleri şeyin aslında başka bir şeye tıkladıklarını fark etmezler ve böylece istemeden saldırganın istediği eylemleri gerçekleştirirler.

5. Clickjacking Nasıl Gerçekleştirilir?

Bir clickjacking saldırısı, genellikle iki bileşenle gerçekleştirilir: görüntülenen katman ve gizli katman. Görüntülenen katman, kullanıcının normalde tıklaması gereken bir içeriği içerirken, gizli katman, bu içeriğin üzerine yerleştirilen bir şeyi temsil eder. Kullanıcı, görüntülenen katmanda bir düğmeye tıklamak veya bir bağlantıyı takip etmek isterken, aslında gizli katmanda yer alan zararlı bir işlemi tetiklemiş olur.

 

(Lostar. (2022, Şubat)

6. Uygulama Örnekleri

Facebook içerisinde gerçekleştirilmek istenilen örnek bir saldırı uygulaması ve bu saldırıdan korunmak için yöntemler:

Saldırının Mantığı:

Örneğin Facebook ile yapılan bir clickjacking saldırısı böyle işler:

  1. Ziyaretçi herhangi bir neden veya yolla kötücül siteyi ziyaret eder.
  2. Kötücül sitede zararsız ve ilgi çekici bir baplantı bulunur (örneğin “Zengin olmak için tıkla” veya “bu kedinin neler yaptığına inanamayacaksınız”).
  3. Kötücül sayfa bağlantının üzerine facebook.com’dan src’si olan şeffaf bir <iframe> yerleştirir. Bu <iframe> şeffaf bir “Beğen” butonunun tam bağlantının üzerine gelmesini sağlar. Genellikle yerleştirme için z-index kullanılır.
  4. Ziyaretçi bağlantıya tıklamayı denerken aslında şeffaf olan butona tıklar.

Saldırının tam bir örneği:

Bu örnekte elimizde yarı şeffaf bir <iframe src=”facebook.html”> var, ve burada butonun üstünde kaldığını görebiliyoruz. Bu butona basılacak bir tıklama aslında iframe tarafından yakalanır, ancak bu olay iframe şeffaf olduğu için kullanıcı tarafından görülmez.

Sonuç olarak eğer kullanıcının Facebook hesabı zaten açıksa sayfayı beğenmiş olur. Eğer örnekte Twitter hedef site olsaydı, kullanıcı sayfayı Twitter’da takip etmiş olurdu.

Aynı örneğin <iframe> için opacity:0 ayarlanmış, daha gerçekçi bir versiyonu:

Saldırının gerçekleşmesi için tek gereken kötücül sayfadaki <iframe>’in tam olarak bağlantının üstüne yerleşmesidir. Bu olay çoğunlukla CSS ile mümkündür.

Bu saldırıya karşı alınabilecek önlemler:

Bu saldırıya karşı en eski savunma yöntemi sayfanın iframe olarak açılmasını engelleyen bir JavaScript betiğidir. Bu yöntem ayrıca “framebusting” olarak da bilinir.

Betik şöyle görünür:

Mantık: Eğer asıl sayfa en üstte olmadığını fark ederse, kendini en üste taşır.

Bu yöntem, etrafından dolaşma yolları nedeniyle güvenilmezdir. Bu yöntemlerden bazılarını inceleyelim.

Üste taşımayı engellemek

Beforeunload olayından önce top.location’ın değişmesinden kaynaklanan üste çıkma eylemi engellenebilir.

Üstteki (saldırgana ait) sayfa bu olaya bir işleyici bağlayarak iframe top.location’ı değiştirmeyi denediğinde kullanıcıya ayrılamk isteyip istemediğini soran bir mesaj gösterebilir.

Örneğin:

Çoğu senaryoda, kullanıcı iframe’in varlığını bilmediğinden dolayı “Hayır” cevabını verecektir. Sonuçta gördükleri tek şey üzerinde kedi videoları olan en üstteki sayfa, niye ayrılmak istesinler ki? Yani, top.location değişmeyecek.

Uygulama üzerinde:

Sandbox niteliği

Sandbox niteliği tarafından kısıtlanan özelliklerden biri sayfa hareketidir. Sandbox niteliğine sahip bir iframe top.location değerini değiştiremez.

Yani iframe’i sandbox=”allow-scripts allow-forms” niteliğiyle ekleyebiliriz. Nitelikteki “allow-scripts allow-forms” kısmı sandbox niteliğindeki kısıtlamaları kaldırarak betik ve formların çalışmasını sağlar ancak allow-top-navigation olmadığından iframe üste çıkamaz.

Kod örneği:

Ekstra Yöntemler:

Makalenin devamında bahsettiğim yöntemlerden biri olan X-Frame-Options kullanmak:

Sunucu-taraflı X-Frame-Options başlığı bir sayfanın iframe içinde gösterilmesine izin verebilir veya reddedebilir.

Başlığın sunucu tarafından gönderilmesi şarttır, tarayıcı bu başlığı <meta> etiketinde görürse yok sayar. Yani <meta http-equiv=”X-Frame-Options”…> etkisizdir.

Başlık üç değerden birini taşıyabilir:

DENY

Sayfayı asla iframe içinde gösterme.

SAMEORIGIN

Sayfanın iframe içinde gösterilmesine ancak ana dosya aynı kaynaktansa izin ver.A

ALLOW-FROM URL

Sayfanın iframe içinde gösterilmesine ancak ana dosya belirtilen alan adından geliyorsa izin ver.

Örneğin, Twitter’da X-Frame-Options: SAMEORIGIN kullanılıyor.

Sonuç:

(The Modern JavaScript Tutorial. (Tarih yok).)

 

Aşağıda basit bir uygulama örneği ve örneğin çalışma mantığı, saldırı adımları ve bu saldırıdan korunabilmek için yapılabilecekler verilmiştir.

Bu kod örneği, bir clickjacking saldırısını simüle eden basit bir HTML kodudur. İşte kodun çalışma mantığı:

  1. Style Tanımları: <style> etiketi içinde, #hedef_web_sitesi ve #yaniltici_web_sitesi adında iki CSS id tanımlanır. Bu id’ler, HTML içindeki ilgili öğeleri hedeflemek için kullanılmaktadır.
  2. Hedef Web Sitesi: <iframe> etiketi ile hedef_web_sitesi id’sine sahip bir iframe oluşturulur. Bu iframe, https://savunmasiz-web-sitesi.com adresinden içeriği yüklemektedir. Ancak, iframe’in görünürlüğü neredeyse sıfıra yakın bir değere (opacity: 0.00001) ayarlanmıştır.
  3. Yanıltıcı Web Sitesi: <div> etiketi içinde, yaniltici_web_sitesi id’sine sahip bir bölüm oluşturulur. Bu bölüm, yanıltıcı web içeriğini içerir. Burada, saldırganın istediği herhangi bir içeriği görüntüleyebilir veya kullanıcıyı yanıltabilir.

Saldırının işleyişi şu şekildedir:

  1. Yanıltıcı bir web sitesi oluşturulur ve yanıltıcı içerik veya özellikler sağlanır.
  2. Yanıltıcı web sitesi, kullanıcının görmek istediği içeriği göstermek için kullanılan bir iframe içerisine yerleştirilir.
  3. Hedef web sitesi (savunmasiz-web-sitesi.com) bir iframe içinde gizlenir ve kullanıcının tıklamak istediği gibi görünen bir bölge oluşturulur (hedef_web_sitesi).
  4. Yanıltıcı web sitesi, görünmez olmasına rağmen daha yüksek bir z-index değeriyle hedef web sitesinin üzerine çıkartılır, böylece kullanıcı yanıltıcı web sitesinin içeriğini görür.
  5. Kullanıcı yanıltıcı web sitesindeki içeriğe tıklamak veya fareyle etkileşimde bulunmak ister.
  6. Aslında kullanıcının tıkladığı şey, gizlenmiş olan hedef web sitesinin iframe’ine yapılan bir tıklamadır. Bu, kullanıcının bilgilerini çalmak veya izinsiz işlemler gerçekleştirmek için kullanılabilir.

Kullanıcılar böyle bir clickjacking saldırısından korunmak için şu önlemleri alabilir:

  1. Tarayıcınızın güvenlik ayarlarında “X-Frame-Options” başlığının etkinleştirildiğinden emin olun: Bu, hedef web sitesinin başka bir iframe içinde yüklenmesini engelleyebilir.
  2. Ek bir güvenlik katmanı olarak Content Security Policy (CSP) kullanın: CSP, web sitelerine gelen içeriği kontrol etmenize ve clickjacking gibi saldırıları engellemenize yardımcı olabilir. Web sitenizin sunucu tarafında CSP kullanarak, sayfalarınızın başka bir iframe içinde yüklenmesini engelleyebilirsiniz.
  3. Güvenilir kaynaklardan güncel bir tarayıcı kullanın ve tarayıcınızı güncel tutun: Güncel tarayıcılar, clickjacking saldırılarına karşı daha iyi koruma sağlar.
  4. Tarayıcınızda clickjacking korumasını etkinleştirin: Tarayıcınızın güvenlik ayarları veya eklentileri arasında clickjacking saldırılarını engelleyen özellikler bulunabilir. Bu özellikleri etkinleştirin.
  5. İçeriği ve bağlantıları dikkatlice inceleyin. Şüpheli veya bilinmeyen web sitelerine tıklamaktan kaçının: Bağlantıları kontrol edin ve güvenilir kaynaklardan geldiğinden emin olun.
  6. Pop-up engelleyici kullanın: Tarayıcınızın pop-up engelleyici özelliğini etkinleştirerek yanıltıcı pop-up pencerelerinin açılmasını engelleyebilirsiniz.
  7. Dikkatli olun ve şüpheli durumlarda önlem alın: Web siteleri veya uygulamalar size şüpheli veya yanıltıcı geliyorsa, tıklamaktan veya etkileşime girmekten kaçının. Güvenmediğiniz veya şüpheli içeriği olan siteleri bildirmek için tarayıcınızın güvenlik özelliklerini kullanın.
  8. İnternet güvenliği konusunda bilinçli olun: Clickjacking saldırıları ve diğer siber tehditler hakkında bilgi edinin. Güvenlik uygulamaları ve bilinçli tüketici davranışları hakkında güvenilir kaynaklardan bilgi edinin.
  9. Frame buster (iframe kırıcı) kullanın: Kendi web sitenize iframe kırıcı kodu ekleyerek, sayfanızın başka bir iframe içinde yüklenmesini engelleyebilirsiniz. Yukarıda verdiğim örnekteki gibi frame buster kodunu kullanarak, kullanıcının yanıltıcı web sitesindeki içeriğe tıklaması durumunda sayfanızın tam pencereye yönlendirilmesini sağlayabilirsiniz.

7. Potansiyel Tehlikeler:

Clickjacking saldırıları, bir dizi potansiyel tehlike taşır. Saldırganlar, bu saldırıyı kullanarak kötü amaçlı yazılımları yayabilir, kimlik avı (phishing) saldırıları düzenleyebilir, kullanıcıların kişisel bilgilerini çalabilir, yetki ihlallerine neden olabilir, kullanıcıları yanıltarak izinsiz işlemler gerçekleştirebilir veya tıklama başına gelir elde edebilir. Örneğin, saldırgan bir banka web sitesinin sayfasına bir clickjacking saldırısı düzenleyerek, kullanıcının istemeden hesap bilgilerini girmesini sağlayabilir ve bu bilgileri çalabilir. Bu nedenle, kullanıcıların clickjacking’e karşı bilinçlenmeleri ve önlemler almaları önemlidir.

8. Clickjacking’den Korunma Yöntemleri:

Clickjacking saldırılarından korunmak için aşağıdaki önlemleri alabilirsiniz:

8.1. X-Frame-Options Kullanın:

Web sitenizin sunucusunda, HTTP yanıt başlıklarına “X-Frame-Options” etiketini ekleyerek clickjacking saldırılarını engelleyebilirsiniz.

X-Frame-Options başlığı için izin verilen üç değer vardır:

  • DENY: İstekleri Engelleme

“Deny” ifadesi, web sunucusunda belirli bir kaynaktan gelen istekleri engellemek için kullanılmaktadır. Bu yöntem, belirli bir URI veya IP adresinden gelen isteklere yanıt olarak erişimi reddeder. Clickjacking saldırılarında, saldırganın kötü niyetli sayfalarından gelen istekleri engelleyerek kullanıcıları korumak için “Deny” yöntemi kullanılabilir. Örneğin, saldırganın kötü niyetli sayfasının IP adresini veya belirli bir URI’yi engelleyerek, kullanıcıların bu saldırılardan etkilenmesini önleyebiliriz.

  • SAMEORIGIN: Aynı Kök Alan ile Sınırlama

” SAMEORIGIN” ifadesi, bir web sayfasının sadece aynı kök alanından gelen isteklere izin vermesini sağlar. Bu yöntem, kök alanı farklı olan kaynaklardan gelen istekleri engeller ve sadece aynı kök alana sahip kaynaklarla etkileşime izin verir. Clickjacking saldırılarından korunmak için, web uygulamalarının “SAMEORIGIN ” politikasını benimsemesi önemlidir. Bu politika, kullanıcının yanıltıcı çerçevelere tıkladığında, sadece aynı kök alana sahip sayfalarla etkileşime geçmesine izin vererek saldırıları engeller.

  • ALLOW-FROM URL: Belirli URL’ye İzin Verme

“Allow from URL” ifadesi, belirli bir URL’den gelen isteklere izin vermek amacıyla kullanılmaktadır. Bu yöntem, belirli bir URL için gelen isteklere izin verirken, diğer kaynaklardan gelen istekleri engeller. Clickjacking saldırılarından korunmak için, kullanıcıların güvendiği ve doğruladığı belirli bir URL’ye izin verme yöntemi kullanılabilir. Bu yöntem, kullanıcıların sadece güvenilir ve doğrulanmış kaynaklardan gelen isteklere yanıt vermelerini sağlayarak, saldırılara karşı bir savunma mekanizması sağlar.

DENY seçeneği en güvenli seçenektir ve mevcut sayfanın bir çerçeve içinde kullanılmasını engeller. Ancak yaygın olarak kullanılan yöntemler arasında SAMEORIGIN politikası öne çıkmaktadır. SAMEORIGIN, web tarayıcıları tarafından desteklenen ve çoğu web uygulamasının varsayılan olarak benimsediği bir güvenlik politikasıdır. Bu politika, kullanıcının yanıltıcı çerçevelere tıkladığında, sadece aynı kök alana sahip sayfalarla etkileşime geçmesine izin vererek saldırıları engeller. SAMEORIGIN yöntemi, kullanıcıların güvenliğini sağlamak için etkili bir savunma mekanizması sağladığından, yaygın olarak tercih edilmektedir

8.2.Content Security Policy (CSP) Kullanın:

CSP, web sayfasında hangi kaynakların kullanılabileceğini ve nasıl işleneceğini tanımlayan bir güvenlik önlemidir. CSP, kötü amaçlı çerçeveleri engellemek ve güvenilir kaynaklardan gelen içerikleri sınırlamak için kullanılabilmektedir. CSP’nin “frame-ancestors” direktifi, sayfanın hangi etki alanlarından çerçevelenebileceğini belirler.

CSP (Content Security Policy) politikalarında “self” ve “none” terimleri, kaynakların izin verileceği veya engelleneceği hedefleri belirtmek için kullanılmaktadır.

‘self’ (kendisi): “self” terimi, kaynakların sadece aynı kök etki alanından gelmesine izin verildiğini belirtir. Yani, yalnızca aynı web sitesinin etki alanından gelen kaynaklar erişilebilir olacaktır. Örneğin, ‘self’ direktifi, “script-src ‘self'” olarak kullanılırsa, yalnızca aynı etki alanından gelen betik kaynaklarına izin verilmektedir. Bu da, kötü niyetli web sitelerinin betiklerini çalıştırma girişimlerini engeller.

‘none’ (hiçbiri): “none” terimi, belirli bir kaynak türüne tamamen erişimin engellendiğini belirtir. Yani, kaynak türüne izin verilmeyecektir. Örneğin, ‘none’ direktifi, “script-src ‘none'” olarak kullanılırsa, hiçbir betik kaynağına izin verilmez ve sayfa üzerinde herhangi bir betik çalıştırılamaz. Bu, güvenlik gerektiren hassas sayfalarda betik yürütülmesini tamamen engellemek için kullanılabilmektedir.

8.3. Frame Buster Tekniklerini Kullanın:

Frame Buster (İframe Kırıcı): Frame busterlar, web sayfasının kendi kendini iframe içinde yüklenmeye çalışan durumları tespit eder ve bu durumu engeller. Bu, sayfanın doğrudan tam tarayıcı penceresinde açılmasını sağlar. Frame busterlar, JavaScript kullanarak tarayıcının kendini iframe içinde yüklemesi durumunda sayfayı yeniden yönlendirir veya iframe’i kaldırır.

Frame busterlar, web sayfasının içine eklenen JavaScript koduyla çalışır ve genellikle aşağıdaki gibi bir kod parçasını içerir:

8.4. Kullanıcıların Korunması:

Kullanıcılar da clickjacking saldırılarına karşı dikkatli olmalı ve aşağıdaki önlemleri almalıdır:

  • Güvenilir Kaynaklardan Gelen Linklere Dikkat: Kullanıcılar, tıkladıkları linklerin güvenilir kaynaklardan geldiğinden emin olmalıdır. Şüpheli veya bilinmeyen kaynaklardan gelen linklere tıklamamalı ve her zaman güvenilir web sitelerini tercih etmelidir.
  • Tıklama Öncesi Doğrulama: Kullanıcılar, özellikle hassas bilgilerin istendiği durumlarda, tıklamadan önce sayfanın URL’sini ve içeriğini dikkatlice kontrol etmelidir. Eğer bir şüphe varsa, tıklamadan önce ek bir doğrulama adımı atmak önemlidir.
  • Güvenlik Yazılımları ve Tarayıcı Güncellemeleri: Kullanıcılar, güvenlik yazılımlarını güncel tutmalı ve kullandıkları web tarayıcılarını en son sürümlerine güncellemelidir. Bu, güvenlik açıklarına karşı daha iyi koruma sağlar.

9. Örnekler ve Gerçek Hayatta Karşılaşılan Vakalar:

9.1. Likejacking ve Facebook “Like” Butonu Örneği:

Likejacking, bir web sitesini görüntüleyen kullanıcıları kasıtlı olarak “beğenmek” istemedikleri bir Facebook sayfasını veya diğer sosyal medya gönderilerini/hesaplarını “beğenmeleri” için kandırmaya yönelik kötü niyetli bir tekniktir. (Cohen, Richard (31 May 2010)) “Likejacking” terimi, Corey Ballou tarafından How to “Like” Anything on the Web (Safely) makalesinde yayınlanan bir yorumdan gelmiştir. (Ballou, Corey (2 June 2010))

Bu yorum Facebook’un “beğen” düğmesiyle ilgili kötü niyetli faaliyet olasılığını açıklayan ilk belgelenmiş gönderilerden biridir. (Perez, Sarah (2 June 2010)

Facebook “Like” Butonu Örneği:

2011 yılında güvenlik araştırmacısı Neal Harris, clickjacking saldırılarının etkisini göstermek için Facebook’un “Like” butonunu hedef almıştır. Saldırganlar, kullanıcıların farkında olmadan istenmeyen sayfalara “Beğen” düğmesine tıklamalarını sağlamıştır. Böylece, saldırganlar, kullanıcıların Facebook profillerinde bu sayfaları beğendiği gibi yanıltıcı bir durum yaratmış ve dolayısıyla kullanıcıların itibarını etkileyebilmiştir.

9.2.Flash Oynatıcısı Güvenlik Açığı:

2008 yılında Jeremiah Grossman ve Robert Hansen, Adobe Flash Player’ın tıklanarak ele geçirilebildiğini ve böylece saldırganın kullanıcının bilgisi olmadan bilgisayara erişim sağlayabildiğini keşfetmişlerdir.(Niemietz, Marcus (2012)) 

Saldırganlar, kullanıcıyı kandırmak için çeşitli web sayfalarında Flash içeriği gizlemiş ve bu içeriği tıklamaya yönlendiren gizli düğmeler eklemiştir. Bu sayede, saldırganlar kullanıcının bilgisayarına kötü amaçlı yazılım indirmiş veya gizlice kullanıcının iznini almadan işlemler gerçekleştirmişlerdir.

9.3. Twitter “Tweet” Butonu Örneği:

2010 yılında, clickjacking saldırıları Twitter’ı hedef almıştır. Saldırganlar, kötü amaçlı bir web sayfası üzerinde gizli bir “Tweet” düğmesi oluşturmuş ve kullanıcıları bu düğmeye tıklamaya yönlendirmiştir. Kullanıcılar tıkladığında, saldırganların belirlediği içerik otomatik olarak kullanıcının Twitter hesabında paylaşılmıştır. Bu şekilde, saldırganlar, spam mesajlar yayarak veya kullanıcıları yanıltıcı içeriklere yönlendirerek zararlı eylemlerde bulunabilmişlerdir.

10. Hukuki Boyutlar ve Yasal İşlemler

Clickjacking, bir kullanıcının izni olmadan tıklama veya etkileşim gerçekleştirerek yanıltılmasını içeren bir güvenlik ihlali olduğu için hukuki boyutu vardır. Clickjacking saldırıları, çoğu ülkede yasa dışı kabul edilen kötü niyetli faaliyetlerdir ve hukuki sorunlara yol açabilmektedir.

Yasalar clickjacking gibi siber suçları ele alırken, genellikle aşağıdaki yasal düzenlemeleri içeren farklı kanunlara dayanır:

10.1. Siber Suçlar:

Çoğu ülkenin siber suçlarla mücadele eden yasaları vardır. Bu yasalar, bilgisayar korsanlığı, kimlik avı (phishing), veri hırsızlığı ve clickjacking gibi saldırıları kapsayabilmektedir. Bu suçlar, yetkililer tarafından soruşturulabilmekte ve cezalandırılabilmektedir.

10.2. Veri Koruma ve Gizlilik Yasaları:

Clickjacking saldırıları, kullanıcıların gizlilik haklarını ihlal edebilmektedir. Kişisel verilerin yetkisiz erişime açık hale gelmesi veya dolandırıcılık amaçlı kullanılması, veri koruma ve gizlilik yasalarına aykırıdır. Bu durumda, saldırganlar hukuki sorumluluk altına alınabilmektedir.

10.3. Ticari Dolandırıcılık Yasaları:

Clickjacking saldırıları, ticari kazanç elde etmek amacıyla kullanıcıları yanıltan saldırı yöntemleridir. Bu tür eylemler, ticari dolandırıcılık yasalarını ihlal eder ve sorumluların hukuki sonuçlarla karşılaşmasına yol açabilmektedir.

11. Sonuç

Clickjacking, internet kullanıcılarının güvenliği için ciddi bir tehdit olarak kabul edilmektedir. Bu makalede, clickjacking’in ne olduğu, nasıl gerçekleştirildiği ve potansiyel tehlikeleri ayrıntılı bir şekilde ele alınmıştır. 

Clickjacking saldırılarına karşı korunmak için, Frame buster tekniklerini kullanmak, X-Frame-Options header’ını etkinleştirmek, Content Security Policy (CSP) kullanmak ve JavaScript tabanlı çözümler geliştirmek gibi önlemler almak önemlidir. Ayrıca, kullanıcıların bilinçlenmesi ve güvenlik önlemlerine dikkat etmeleri gerekmektedir.

Clickjacking’in hukuki boyutu da önemli bir konudur. Yasal düzenlemeler ve yasal işlemler, clickjacking saldırılarının önlenmesi ve saldırganların cezalandırılması için önemli bir rol oynamaktadır.

Clickjacking saldırıları, hem bireylerin hem de kuruluşların web güvenliği konusunda bilinçlenmesi ve önlem alması gereken bir tehdit olarak kabul edilmektedir. Bilinçli web kullanımı, güvenlik önlemlerinin uygulanması ve güncellemelerin takibi, clickjacking gibi saldırılara karşı etkili bir koruma sağlayabilmektedir.

12. Kaynakça:

Niemietz, Marcus (2012). UI Redressing Attacks on Android Devices (PDF). Black Hat. 03 Haziran 2023 tarihinde kaynağından (PDF) erişilmiştir.

Cohen, Richard (31 May 2010). Facebook Work – Likejacking. Sophos. 03 Haziran 2023 tarihinde erişilmiştir.

Ballou, Corey (2 June 2010). Likejacking Term Catches On. jqueryin.com. 03 Haziran 2023 tarihinde erişilmiştir.

Perez, Sarah (2 June 2010). Likejacking Takes Off on Facebook. Orijinalinden 03 Haziran 2023 tarihinde erişilmiştir.

The Modern JavaScript Tutorial. (Tarih yok). Clickjacking. In The Modern JavaScript Tutorial [Web sayfası].  https://tr.javascript.info/clickjacking adresinden 09 Haziran 2023 tarihinde erişilmiştir.

Lostar. (2022, Şubat). Clickjacking/UI Redressing Saldırıları. Lostar’da [Web sayfası]. https://lostar.com.tr/2022/02/clickjackingui-redressing-saldirilari.html adresinden 03 Haziran 2023 tarihinde erişilmiştir.

Öne çıkarılan görsel : https://tr.wikipedia.org/wiki/Dosya:Clickjacking.png  adresinden 06 Haziran 2023 tarihinde alınmıştır. Creative Commons lisanslıdır.

Bu makale https://www.turnitin.com/  sitesi üzerinden 06.06.2023 tarihinde kontrol edilmiştir. Makale benzerlik değeri ile kabul edilmiştir.

 Results Completed: 100% Plagiarism: %2 Unique: %98


Bu eser Creative Commons Atıf-AynıLisanslaPaylaş 4.0 Uluslararası Lisansı ile lisanslanmıştır..