クリックジャッキングとは？

クリックジャッキングとは、透明化した罠ページのiframe内に正規サイトを重ね、利用者に別のものをクリックさせたつもりで正規サイト上の操作を実行させる攻撃。

情報処理安全確保支援士試験の過去問では2回出題されています（2022年度〜2024年度）。

くりっくじゃっきんぐ

情報処理安全確保支援士試験の頻出用語／午前II

クリックジャッキングの意味

透明化した罠ページのiframe内に正規サイトを重ね、利用者に別のものをクリックさせたつもりで正規サイト上の操作を実行させる攻撃。

クリックジャッキングの具体例

「動画を再生」ボタンだと思ってクリックした位置に、SNSの公開設定変更ボタンが重ねられている。

クリックジャッキングは試験でどう引っ掛けられる？

対策は自サイトを他サイトのフレーム内に表示させないこと。X-Frame-Options: DENY/SAMEORIGINヘッダ、またはCSPのframe-ancestorsディレクティブで指定する。

クリックジャッキングと関連する用語

クリックジャッキングが出た過去問

クリックジャッキング攻撃に有効な対策はどれか。
正解：HTTPレスポンスヘッダーに,X-Frame-Optionsを設定する。
要点：クリックジャッキングはX-Frame-Optionsで枠内表示を禁じる
クリックジャッキングは、透明にした標的サイトのフレームを罠のページに重ね、利用者が意図しないボタンを押させる攻撃である。そこで標的サイト側が、自分のページを他サイトのフレーム内で表示させないよう指示すれば成立しなくなる。X-Frame-Optionsヘッダー（またはCSPのframe-ancestors）がその指示にあたる。
出典：令和4年度秋期情報処理安全確保支援士試験 am2 問11（IPA）
クリックジャッキング攻撃に有効な対策はどれか。
正解：HTTPレスポンスヘッダーに,X-Frame-Optionsを設定する。
要点：クリックジャッキング対策はフレーム埋め込みの禁止
クリックジャッキングは、透明化した攻撃対象サイトのページをiframeで自サイトに重ね、利用者が意図しないボタンをクリックさせる攻撃である。したがって対策は、自サイトのページを他サイトのフレーム内に埋め込ませないことであり、HTTPレスポンスヘッダーのX-Frame-Options（またはCSPのframe-ancestors）でフレーム表示を禁止する。
出典：令和6年度秋期情報処理安全確保支援士試験 am2 問14（IPA）

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。