Clickjacking 클릭재킹

클릭재킹은 화면의 겹침이나 프레임 등을 이용해 사용자가 의도와 다른 대상에 클릭하도록 속이는 공격입니다.

보이는 내용과 실제 클릭을 받는 대상을 다르게 구성해 권한 있는 작업을 유도할 수 있습니다. 로그인된 서비스의 중요한 버튼이 외부 프레임 안에 표시되는지 등을 고려합니다.

업무 서비스가 승인되지 않은 사이트의 프레임 안에서 열리지 않도록 정책을 적용하는 방어가 있습니다.

CSP의 frame-ancestors와 X-Frame-Options는 프레임 포함을 제한하는 수단입니다. 스크립트로 프레임을 벗어나려는 방식과 같은 신뢰 수준으로 취급하지 않습니다.

프레임을 모두 막으면 정상 임베드 기능도 중단될 수 있습니다. 허용 대상과 기존 연동을 확인하고 CSRF 및 권한 검사도 별도로 유지해야 합니다.