クリックジャッキングとは？くりっくじゃっきんぐ
クリックジャッキングとは、透明にした正規サイトのiframeを罠ページの上に重ね、利用者に別のものを押したつもりで正規サイト上の操作を実行させる攻撃。操作は本人のブラウザから正規のセッションで送られるため、サーバ側から見ると本人が意図した操作と区別が付かない。
最終更新：2026-10-06
この語が出る過去問を解く →背景
iframeは他サイトの画面を自分のページへ埋め込むための機能で、埋め込まれる側が拒否する手段は当初なかった。CSSで透明度と重なりを自由に制御できるようになったことで、見えている画面と実際に押される要素を食い違わせられるようになり、利用者の目に頼った同意の確認が成立しなくなった。対策が埋め込まれる側の宣言として設計されたのはこのためである。
具体例
「動画を再生」と書かれたボタンの位置に、SNSの公開範囲を変えるボタンや退会確定ボタンを重ねておく。透明なフレームをカーソルに追従させれば、利用者が画面のどこを押しても狙った要素が押される。
試験での引っ掛け
入力値の検証では防げない。守り方は自サイトを他サイトのフレーム内に表示させないことで、X-Frame-Options（DENY／SAMEORIGIN）かCSPのframe-ancestorsで宣言する。操作は正規のセッションで送られるためCSRFトークンは効かない。
関連用語
出た過去問
出典：令和4年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問11（IPA）
クリックジャッキング攻撃に有効な対策はどれか。
正解：HTTPレスポンスヘッダーに,X-Frame-Optionsを設定する。
要点：クリックジャッキングはX-Frame-Optionsで枠内表示を禁じる
クリックジャッキングは、透明にした標的サイトのフレームを罠のページに重ね、利用者が意図しないボタンを押させる攻撃である。そこで標的サイト側が、自分のページを他サイトのフレーム内で表示させないよう指示すれば成立しなくなる。X-Frame-Optionsヘッダー（またはCSPのframe-ancestors）がその指示にあたる。
出典：令和6年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問14（IPA）
クリックジャッキング攻撃に有効な対策はどれか。
正解：HTTPレスポンスヘッダーに,X-Frame-Optionsを設定する。
要点：クリックジャッキング対策はフレーム埋め込みの禁止
クリックジャッキングは、透明化した攻撃対象サイトのページをiframeで自サイトに重ね、利用者が意図しないボタンをクリックさせる攻撃である。したがって対策は、自サイトのページを他サイトのフレーム内に埋め込ませないことであり、HTTPレスポンスヘッダーのX-Frame-Options（またはCSPのframe-ancestors）でフレーム表示を禁止する。
出典・参考
公式シラバスの3 技術要素 ＞ 1. 情報セキュリティ ＞ (7) 攻撃手法に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。