解説

クリックジャッキング攻撃は、悪意のあるウェブページに透明な（opacity:0）iframeで正規サイト（SNS・ネットバンキング等）を重ね合わせ、ユーザーが悪意のあるページのボタンをクリックしたと思わせながら実際には正規サイトの別の操作（送金・設定変更・いいね等）を実行させる攻撃。対策は X-Frame-Options レスポンスヘッダの設定。DENY（全面禁止）を設定すると他のサイトのiframeに自サイトを埋め込めなくなり、クリックジャッキングを根本的に防止できる。SAMEORIGIN設定では同一オリジンからのiframe埋め込みのみ許可する。現代的な対策ではContent-Security-Policy（CSP）のframe-ancestorsディレクティブによる制御が推奨される（X-Frame-Optionsはレガシーだが広くサポート）。セッションIDをcookieに保存する際のX-Frame-Options設定が重要で、SC試験ではWebセキュリティ対策のヘッダ設定に関する出題が頻出。

なぜ他の選択肢は違うのか

選択肢 ア

HttpOnly属性はcookieにJavaScriptからアクセスできなくする設定で、主にXSS（クロスサイトスクリプティング）攻撃によるcookie窃取を防ぐ対策。スクリプトがdocument.cookieでセッションIDを読み取れなくなる。クリックジャッキングはJavaScriptでcookieを読む攻撃ではなく、iframeで視覚的にだます攻撃なので、HttpOnly属性は無効。

選択肢 イ

Secure属性はCookieをHTTPS接続時のみ送信し、HTTP平文通信では送信しない設定。中間者攻撃による通信路上でのCookie盗聴を防ぐ対策であり、暗号化通信を強制することで通信経路のセキュリティを向上させる。クリックジャッキングはiframeによるUI欺瞞攻撃であり、通信路の盗聴とは無関係のため、Secure属性では防御できない。

選択肢 ウ

Strict-Transport-Security（HSTS）はブラウザに「このサイトへは常にHTTPSでアクセスする」ことを強制させるレスポンスヘッダ。HTTP→HTTPSのリダイレクト時のSSLストリッピング攻撃を防ぐ。暗号化通信を強制する対策であり、iframeによるクリックジャッキングとは無関係。

解くときのポイント

X-Frame-Options: DENY（全面禁止）、SAMEORIGIN（同じオリジンのみ許可）。現在はCSPのframe-ancestorsディレクティブが推奨されている（X-Frame-Optionsは旧式だが広く対応）。