Clickjacking: la guida completa per aziende

Scopri cos’è il clickjacking, come funziona e quali strategie applicare per proteggere le applicazioni web della tua azienda.

Negli ultimi anni le minacce informatiche legate a internet hanno registrato un aumento repentino, causando seri danni a imprese e utenti privati. I cybercriminali ricorrono a tecniche sempre più subdole e sofisticate per compromettere dispositivi e infrastrutture digitali. Tuttavia continuano a sfruttare anche metodi noti da tempo che, nonostante la loro anzianità, restano sorprendentemente efficaci.

Una di queste è il clickjacking, una tecnica di attacco nota da oltre vent’anni, ancora oggi utilizzata per manipolare la navigazione degli utenti nelle interfacce web. Nel 2025 sono state documentate nuove varianti capaci di compromettere strumenti considerati sicuri come i password manager, dimostrando che il clickjacking è tutt’altro che superato.

In questo articolo analizzeremo cos’è il clickjacking, come funziona, quali sono le conseguenze per le aziende e come difendersi efficacemente.

1. Cos’è il clickjacking
2. Le 6 tecniche di clickjacking più utilizzate
3. La nuova frontiera: clickjacking sui password manager
4. Come verificare se il tuo sito è vulnerabile
5. Prevenzione e difesa per aziende

Cos’è il clickjacking

Il clickjacking è una tecnica di attacco che manipola le interazioni dell’utente con una pagina web, intercettando click o tocchi sullo schermo per eseguire azioni dannose a sua insaputa. L’obiettivo è indurre l’utente a visitare siti web fraudolenti, installare malware, inserire dati sensibili o effettuare trasferimenti di denaro senza che se ne accorga.

Come funziona tecnicamente

Un classico esempio di clickjacking è un sito fraudolento che promette la vincita di uno smartphone. Quando l’utente clicca sul pulsante per reclamare il premio, viene dirottato su una pagina malevola o compie involontariamente un’azione dannosa.
Per eseguire questo attacco, i cybercriminali sovrappongono elementi invisibili alla pagina legittima. Tra le tecniche più utilizzate troviamo:

• iframe: incorporano una pagina malevola all’interno di quella visualizzata, rendendola invisibile all’utente.
• Trasformazioni CSS: position, z-index, opacity e transform sono utilizzate per posizionare il contenuto fraudolento sopra gli elementi cliccabili.
• Funzioni di timing JavaScript: setTimeout e requestAnimationFrame sincronizzano la comparsa e la scomparsa dei layer malevoli con il comportamento dell’utente.

Perché è ancora efficace dopo vent’anni

Il clickjacking è stato descritto per la prima volta nel 2008 dai ricercatori Robert Hansen e Jeremiah Grossman. Quasi vent’anni dopo resta efficace per tre motivi: sfrutta funzionalità legittime del browser e non bug, l’utente non può vedere l’attacco perché gli elementi malevoli sono nascosti via CSS, e le contromisure sono note ma poco applicate (molti siti aziendali non implementano header HTTP come X-Frame-Options o Content-Security-Policy).

Le 6 tecniche di clickjacking più utilizzate

I cybercriminali possono mettere in atto diverse varianti di clickjacking, ciascuna basata su meccanismi differenti.

Sovrapposizione trasparente completa
I cybercriminali inseriscono un overlay completamente trasparente sopra la pagina legittima. L’utente interagisce con ciò che vede sullo schermo, ma in realtà i suoi click vengono intercettati dagli elementi nascosti sovrapposti.

Ritaglio (UI Redressing)
Gli attaccanti modificano solo specifiche aree della pagina (pulsanti, etichette). Possono nascondere link malevoli dietro pulsanti visibili o sostituire etichette autentiche con comandi ingannevoli.

Overlay nascosto (1×1 pixel frame)
Un microframe di dimensioni ridotte viene posizionato sotto il cursore. Al clic, questo frame invisibile riceve l’interazione e attiva l’azione dannosa.

Sostituzione rapida dei contenuti
Un layer opaco viene posizionato sopra gli elementi della pagina, per poi scomparire per una frazione di secondo nel momento del clic. In quell’istante viene attivato il contenuto malevolo.

Scorrimento fuorischermo (Off-screen scrolling)
Finestre di dialogo legittime vengono fatte scorrere fuori dall’area visibile, lasciando esposti solo alcuni pulsanti come “OK” e “ANNULLA”. I criminali associano a questi pulsanti azioni diverse da quelle previste.

Drag-and-drop malevolo
Sfrutta elementi trascinabili camuffati o invisibili. Durante l’interazione, l’utente attiva inconsapevolmente l’invio di dati o l’esecuzione di comandi non autorizzati.

Riconoscere e prevenire queste tecniche su applicazioni aziendali richiede test specializzati. Il servizio di Web Application Penetration Testing simula esattamente questi attacchi per verificare se il tuo sito è vulnerabile.

La nuova frontiera: clickjacking sui password manager

Durante la conferenza DEF CON 33 tenutasi a Las Vegas nell’agosto 2025, il ricercatore Marek Tóth ha presentato un attacco clickjacking in grado di compromettere i password manager attraverso l’abuso delle loro funzionalità di riempimento automatico. L’attacco consente di esfiltrare password, codici 2FA e dati bancari, sfruttando elementi invisibili nella pagina.

I cybercriminali costruiscono siti malevoli che sfruttano proprietà CSS come opacity, pointer-events e z-index per nascondere i campi di inserimento o la finestra di autofill del password manager. Tramite CAPTCHA manipolati o pop-up ingannevoli, inducono l’utente a cliccare su elementi nascosti, innescando il riempimento automatico dei dati. I moduli compilati possono essere letti ed esfiltrati da script malevoli.

Tóth ha identificato come vulnerabili diversi password manager. A seguito della divulgazione, diversi vendor coinvolti hanno rilasciato patch di sicurezza per mitigare la vulnerabilità.

Implicazione per le aziende: se i tuoi dipendenti usano password manager (raccomandazione standard di sicurezza), è essenziale assicurarsi che siano aggiornati all’ultima versione.

Come verificare se il tuo sito è vulnerabile

Verifica manuale degli header HTTP

Apri il tuo sito in un browser, premi F12 per aprire i DevTools, vai nella scheda Network, ricarica la pagina e clicca sulla richiesta principale. Cerca tra gli Response Headers la presenza di uno di questi due header:

• X-Frame-Options con valore DENY o SAMEORIGIN
• Content-Security-Policy con direttiva frame-ancestors

Se nessuno dei due è presente, il tuo sito è potenzialmente vulnerabile a clickjacking.

Test con tool automatici

Diversi strumenti open source permettono di testare la vulnerabilità sistematicamente: OWASP ZAP (gratuito, con moduli specifici per clickjacking), Burp Suite Community Edition e Mozilla Observatory (scansione online della configurazione di sicurezza).

Audit professionale

Per applicazioni web aziendali complesse, i test automatici non sono sufficienti: rilevano configurazioni evidentemente mancanti ma non vulnerabilità contestuali (pagine specifiche con header diversi, comportamenti dinamici).

Prevenzione e difesa per aziende

Misure tecniche lato sito web

• Implementare Content-Security-Policy con direttiva frame-ancestors. Esempio: Content-Security-Policy: frame-ancestors ‘self’
• Configurare l’header X-Frame-Options con valore DENY o SAMEORIGIN come fallback per browser più datati
• Abilitare gli script di “frame busting” lato JavaScript per rilevare e bloccare il caricamento in iframe ostili
• Effettuare audit periodici per verificare che le configurazioni siano applicate uniformemente

Misure di protezione lato utente

• Mantenere il browser regolarmente aggiornato per ricevere le patch di sicurezza
• Installare estensioni anti-clickjacking come NoScript (Firefox) o ScriptSafe (Chrome)
• Prestare attenzione alle finestre pop-up durante la navigazione
• Aggiornare regolarmente i password manager (vedi sezione DEF CON 33)

Il tuo sito è vulnerabile al clickjacking?

I nostri ethical hacker certificati effettuano test reali sulle tue applicazioni web per identificare vulnerabilità sfruttabili, inclusi i diversi tipi di clickjacking. Riceverai un report tecnico dettagliato con le evidenze raccolte, la priorità di intervento e le remediation suggerite, allineato allo standard internazionale OWASP.