Clickjacking · Détournement de clic
Un clic sur un bouton légitime. Une action frauduleuse validée.
Le clickjacking exploite une page qui semble sûre. Un iframe invisible détourne un clic vers une action malveillante, sans alerte ni preuve visible.
- Iframe invisible
- Action détournée
- OWASP A05
Simulation pas à pas
Suivez l'attaque étape par étape
Page visible
Télécharger le rapport
Abonnement à confirmer
4,99 €/mois
Une page interne qui semble sûre
L'utilisateur voit un bouton légitime sur son intranet. Il ne se méfie pas.
Une interface à laquelle on fait confiance
Tableaux de bord RH, formulaires de paiement, accès aux ressources : ces pages sont visibles et familières. Une fausse couche visible suffit pour tromper un clic.
Chiffres clés
Un seul clic, aucune alerte
- OWASP Top 10 · 2021
A05
Security Misconfiguration- clic requis
0
pour activer l'attaque- alerte visible
0
pour l'utilisateur- pour détourner la transaction
< 0s
via un iframe malveillant
Protection
Comment s'en protéger
Le clickjacking se bloque côté serveur, en interdisant l'intégration de vos pages par un site tiers.
CSP frame-ancestors
La directive frame-ancestors 'self' (ou 'none') empêche tout site tiers d'afficher vos pages dans une iframe.
X-Frame-Options
DENY ou SAMEORIGIN en complément, pour couvrir les navigateurs plus anciens.
Cookies SameSite
Avec SameSite=Lax ou Strict, la session n'est pas envoyée depuis une iframe tierce.
Confirmer les actions sensibles
Paiement, suppression, changement de droits : exigez une confirmation explicite (mot de passe, MFA).
Démo technique
Simulateur de clickjacking
Cette simulation vous montre comment une action légitime peut être détournée par une iframe invisible, puis bloquée grâce aux protections navigateur.
Démonstration interactive
Clickjacking — détournement de clic
Un iframe transparent superpose un bouton légitime. Le clic de l'utilisateur active une action cachée — ici un abonnement payant à 4,99 €/mois — sans qu'il le sache.
Comment les hackers volent vos identifiants — 5 techniques méconnues en 2026
Le phishing ne représente plus que la moitié des vols de comptes. Les méthodes évoluent : infostealers, credential stuffing, adversary-in-the-middle…
Les attaquants utilisent désormais des kits clé-en-main disponibles pour moins de 20€ sur des forums spécialisés. Ces outils génèrent automatiquement des pages de connexion identiques à celles de Microsoft, Google ou votre banque…
Cet article est réservé aux abonnés Premium
Accès gratuit pendant 7 jours, sans engagement
Architecture de l'attaque
Page légitime
banque-pro.fr
Iframe transparent
opacity: 0 — z-index: 9
Clic utilisateur
Cible : iframe, pas la page
Comment tester
- Cliquez sur "Lire l'article complet →"
- Activez "Révéler l'iframe" pour voir l'overlay superposé
- Activez "Protection ON" pour voir comment X-Frame-Options bloque l'attaque
Exemples réels documentés
- ·Abonnements premium activés via boutons "Fermer la pub" (pratique documentée)
- ·Clic sur "J'accepte" dans des CGU invisibles superposées
- ·Activation de caméra/micro via faux boutons de lecture vidéo
- ·Virements bancaires via portails d'entreprise (fraude SWIFT 2016 : 81 M$)
Invisible par nature
L'iframe malveillant est positionné avec opacity: 0 et z-index élevé. L'utilisateur voit uniquement la page d'en-dessous, jamais la cible réelle de son clic.
Action immédiate
Un seul clic suffit. L'attaquant n'a pas besoin de votre mot de passe — votre session authentifiée valide l'action à votre place. Aucune confirmation supplémentaire.
Contremesures
X-Frame-Options: DENY ou Content-Security-Policy: frame-ancestors 'none' empêchent tout encapsulation iframe. Côté UX : confirmation 2FA pour les actions sensibles.
FAQ
Questions fréquentes
Qu'est-ce que le clickjacking ?
Le clickjacking (détournement de clic) superpose une page malveillante transparente sur un site légitime via un iframe invisible. Quand l'utilisateur clique sur ce qu'il croit être un bouton du site légitime, il clique en réalité sur la couche invisible et déclenche une action non souhaitée (like, achat, autorisation OAuth, transfert bancaire).
Comment se protéger contre le clickjacking ?
Protection contre le clickjacking : configurer l'en-tête HTTP X-Frame-Options: DENY (interdit tout framing) ou SAMEORIGIN (autorise uniquement le même domaine), ou utiliser Content-Security-Policy: frame-ancestors 'none'. Ces en-têtes empêchent le site d'être chargé dans un iframe par des domaines tiers.
Quel en-tête HTTP protège contre le clickjacking ?
Deux en-têtes protègent contre le clickjacking : X-Frame-Options (DENY ou SAMEORIGIN, support universel) et Content-Security-Policy avec la directive frame-ancestors (plus moderne, plus flexible). La CSP est préférée car elle permet de whitelister des domaines spécifiques et remplace officiellement X-Frame-Options.
Quels sont des exemples réels d'attaques clickjacking ?
Exemples célèbres : l'attaque Twitter de 2009 (likejacking forçant des retweets), les attaques de type 'cursorjacking' détournant le curseur, les iframes invisibles sur des pages de jeux forçant des achats, et les attaques contre des interfaces administratives non protégées permettant de réinitialiser des paramètres de sécurité.
Formez vos équipes avec un expert
Ateliers de sensibilisation sur mesure, simulations d'attaques et formations pour ancrer les bons réflexes dans votre organisation.