Neue Clickjacking Sicherheitslücke ermöglicht ungewollte Facebook Like Button Aktivitäten

Nachdem uns aufgefallen ist, dass einige unserer Kontakte auf Facebook Links zu einer komischen Seite ohne nennenswerter Funktion verbreiteten, habe wir den Quellcode der betreffenden Seite genauer analysiert und herausgefunden wie diese sicherlich ungewollten Link-Weiterempfehlungen zustande kamen.

Durch eine geschickte Anwendung verschiedener HTML-Elemente und CSS-Styles wird der Facebook-Button so manipuliert, dass ein Klick irgendwo auf der Seite ausreicht um ein "Gefällt mir" auszulösen.Die verwendeten Auszeichnungs- und Darstellungstechniken via HTML und CSS funktionieren in absolut jedem Browser und die Lücke an sich lässt sich auch mit deaktiviertem JavaScript ausnutzen.

Clickjacking

Clickjacking bezeichnet eine Technik, in der Computerhacker die Darstellung einer Website manipulieren. Dabei überlagern sie die eigentliche Seite mit einer falschen Website, auf der eine scheinbar harmlose Handlung durchgeführt werden soll. Der User wird aufgefordert einen Button zu Klicken oder einem Link zu folgen. Klickt der User den Button, hat der Angreifer sein Ziel erreicht, denn der Nutzer klickt nicht den Ihm vorgebenden Button, sondern auch den eigentlich darunterliegenden Button, der die vom Angreifer gewünschte Aktion ausführt.

Woher kommt die Clickjacking-Lücke

Es handelt sich nicht um eine auf Facebook begrenzte Clickjacking-Lücke sondern lässt sich für jegliche Anwendungen ausnutzen, bei der direkt nach einem oder mehreren Klicks irgendetwas passiert. Die Clickjacking-Sicherheitslücke existiert, weil die Browser verschiedene aufeinanderfolgende Style-Definitionen zwar technisch gesehen korrekt interpretieren, aber somit auch ein Clickjacking Schlupfloch ermöglichen. Um sich vor den Angriffen durch Cyber-Kriminelle zu schützen empfiehlt sich der Einbau von Frame-Buster auf Ihrer Website. Dieser setzt voraus, dass JavaScript im Browser der Nutzer eingeschaltet ist.

Um Nachahmungen vorzubeugen gehen wir an dieser Stelle auf keine weiteren technischen Details ein. Einigen Browser-Herstellern haben wir bereits eine Info mit weiteren technischen Details zugeschickt.

Auswirkungen auf die Suchmaschinenoptimierung

Viele Hacker nutzen das Clickjacking um sich Vorteile in der Suchmaschinenoptimierung zu verschaffen. Dabei erhoffen sie, mehr Klicks zu generieren, Internet-Traffic aufzubauen und in den Suchergebnissen zu steigen. Was die Hacker leider nicht bedacht haben ist, dass zur Suchmaschinenoptimierung mehr gehört als nur das Klickverhalten der Besucher. Wichtigere Ranking-Faktoren sind unter anderem das Vertrauen (Trust) einer Website, der für den Nutzer relevante und einzigartige Content, der Einbau des Fokus-Keywords in definierten Bereichen des Content, die Keyword-Density, die Benutzerfreundlichkeit der Website,  der Aufbau eines Backlink-Profils und viele mehr. Sind diese Faktoren nicht erfüllt, werden auch manipulierte Klick-Zahlen nicht viel an der Positionierung der Website in den Suchergebnissen nützen. Darüber hinaus wird der Schwindel früher oder später erkannt und durch Abstrafungen geahndet.