El doubleclickjacking es un tipo de ataque cibernético que explota vulnerabilidades en páginas web y requiere dos clics para ser efectivo. El ataque consiste en insertar un elemento malicioso entre el primer y segundo clic del usuario, lo que permite ejecutar acciones no deseadas. Al realizar el primer clic, el atacante inserta un elemento invisible, como un «iframe», que se activa con el segundo clic. Esto permite que el usuario interactúe con un botón oculto sin darse cuenta, lo que puede llevar a acciones como la autorización de pagos o el acceso no autorizado a cuentas.
Una de las principales características del doubleclickjacking es que se lleva a cabo en sitios web legítimos, lo que permite eludir las protecciones tradicionales contra el clickjacking. Este ataque no requiere que el usuario visite un sitio web falso, sino que ocurre en páginas auténticas pero mal protegidas. A través de esta técnica, los atacantes pueden engañar al usuario para que realice acciones como confirmar inicios de sesión en redes sociales o realizar transferencias bancarias sin su consentimiento.
A diferencia del clickjacking tradicional, que se basa en un solo clic, el doubleclickjacking requiere dos clics para que el ataque sea efectivo. Esto hace que el ataque sea más complejo y capaz de eludir algunas de las protecciones que los navegadores implementan para prevenir los ataques de un solo clic. En consecuencia, el doubleclickjacking tiene un mayor potencial para causar daños, ya que puede tener como objetivo acciones delicadas, como compras no autorizadas o el cambio de configuraciones de seguridad de cuentas.
Las consecuencias de un ataque exitoso de doubleclickjacking pueden ser graves, incluyendo la alteración de configuraciones de seguridad de cuentas, la obtención de permisos para acceder a APIs, la autorización de pagos sin el conocimiento del usuario e incluso la compra de productos a nombre de la víctima. También es posible que los atacantes tomen control de cuentas en redes sociales, cambiando contraseñas o usando la cuenta para distribuir malware o solicitar dinero a contactos.
Para protegerse de este tipo de ataques, ESET recomienda mantener actualizado tanto el sistema operativo como los navegadores, ya que el doubleclickjacking explota vulnerabilidades específicas que podrían ser corregidas en futuras actualizaciones. Además, se sugiere estar atento a comportamientos sospechosos en sitios web, como botones que requieran doble clic o ventanas emergentes, y ser cauteloso al interactuar con mensajes de confirmación, evitando hacer clic rápidamente en opciones sospechosas.
