⚠️ Part 1｜DOM-based Extension Clickjackingとは？

DOM-based Extension Clickjackingは、ブラウザ拡張機能（特にパスワード管理ソフト）を悪用し、ユーザーの機密情報を盗む攻撃手法です。チェコのセキュリティ研究者Marek Tóth氏が2025年8月のDEF CON 33で発表し、詳細をブログで公開しました[2]。

攻撃の仕組み

1. 攻撃者が偽のWebサイトを作成し、ポップアップやCookie同意バナーなど、ユーザーが自然にクリックするUI要素を表示。
2. その背後に透明なログインフォームを隠し、ユーザーのクリックを誘導。
3. パスワード管理ソフトが自動入力を行い、入力された情報（ログイン情報、クレジットカード、TOTPコードなど）が攻撃者のサーバーに送信される。
4. JavaScriptでDOM操作を行い、拡張機能のUI要素を透明化することで、ユーザーに気づかれずに情報窃取が可能[1]。

クリックジャッキングの仕組みと対策

クライアントサイド防止策

クライアントがクリックジャッキングの試みを防ぐ方法

• フレームバスティングスクリプトの実装
• アンチクリックジャッキングブラウザ拡張機能の利用
• アンチウイルスソフトウェアの導入

攻撃の仕組み（フロー図）

クリックジャッキング攻撃の流れを視覚化

攻撃者が偽のWebサイトを作成し、ポップアップやCookie同意バナーなど、ユーザーが自然にクリックするUI要素を表示

その背後に透明なログインフォームを隠し、ユーザーのクリックを誘導

パスワード管理ソフトが自動入力を行い、入力された情報（ログイン情報、クレジットカード、TOTPコードなど）が攻撃者のサーバーに送信

JavaScriptでDOM操作を行い、拡張機能のUI要素を透明化し、ユーザーに気づかれずに情報窃取

サーバーサイド防止策

サーバーがクリックジャッキングの試みを防ぐ方法

• X-Frame-Options ヘッダーの設定（DENYまたはSAMEORIGIN）
• Content Security Policy (CSP) の実装でフレーム制限
• SameSite Cookie 属性（Strict/Lax）の活用
• HTTPS の強制実装で通信の安全確保

🔐 Part 2｜パスワード管理ソフトの自動入力挙動比較

以下の表は、主要なパスワード管理ソフトの自動入力挙動と安全性を比較したものです。

アイコンの意味

• ✅：安全、攻撃手法に対して無効化済みまたは影響なし
• ☠️：脆弱、攻撃によって情報が盗まれる可能性あり
• 🟧：操作が複雑（例：5クリック必要）だが、完全に安全とは言えない
• 非対応：その情報種別に対して機能がない／保存できない

視覚化：脆弱性分布

👣 Part 3｜影響の深刻度と対象

なぜ危険なのか？

• たった1クリックで漏洩：CookieバナーやCAPTCHAのボタンの背後に透明なログインフォームを隠し、ユーザーのクリックで自動入力がトリガーされる[2]。
• 対象拡張機能：Chrome、Firefox、Edgeなどで利用される11種類のパスワード管理ソフト（約4,000万インストール）が影響を受ける[2]。
• 技術的特徴：
  • DOM操作で拡張機能のUIを透明化。
  • XSSやキャッシュポイズニングと組み合わせ、信頼されたサイトでも攻撃が可能。

盗まれる可能性のある情報

⛑️ Part 4｜対策と推奨設定

ユーザー向け対策

開発者向け対策

• Manifest V3の採用：DOM操作やスクリプト実行の制限を強化。
• CSP（Content Security Policy）強化：不正スクリプトやインラインスクリプトをブロック。
• 透明化防止：DOM操作を最小限にし、入力検知を強化。
• X-Frame-Options: DENY：サイトがiframeでの表示を禁止。

対応状況（2025年8月時点）

• 修正済み：Dashlane (v6.2531.1)、Keeper (v17.2.0)、NordPass、ProtonPass、RoboForm、Bitwarden (v2025.8.0)。
• 未修正：
  • 1Password (v8.11.4.27)：修正予定なし、ユーザー確認強化を計画。
  • LastPass (v4.146.3)：修正優先度低。
  • LogMeOnce (v7.12.4)：連絡無応答、完全脆弱。
  • Enpass (v6.11.6)、iCloud Passwords (v3.1.25)：修正作業中。

📵 Part 5｜ユーザーの実践ガイド

チェックリスト

• 拡張機能の権限を確認し、不要なものは無効化。
• 怪しいサイト（ポップアップ、Cookieバナー、CAPTCHA）に注意。
• 自動入力をオフにし、コピー＆ペーストで入力。
• 完全なURL一致のみで自動入力を許可。
• ブラウザや拡張機能を常に最新に保つ。
• 信頼できるソフト（Dashlane、Bitwarden、NordPass）を選択。

おすすめ設定

• Chromium系ブラウザ：拡張機能のサイトアクセスを「クリック時」に設定。
• パスワード管理ソフト：強力なマスターパスワードと2要素認証を設定。