Web Tarayıcılarında DOM Clickjacking Saldırıları ve Etkileri

Araştırmacı Marek Tóth, yeni bir saldırı vektörü olan DOM Clickjacking’i ortaya çıkardı.
Tarayıcıdaki gizli öğeler aracılığıyla, saldırgan tek bir tıklama ile şifreleri, TOTP’leri, kartları ve hatta passkey’leri ele geçirebilir.

11 popüler yönetici (~40 milyon yükleme) saldırı altında:
✅ Açığı Kapatılanlar: Dashlane, Keeper, NordPass, ProtonPass, RoboForm.
❌ Hala savunmasız olanlar: 1Password, Bitwarden, LastPass, iCloud Passwords, Enpass, LogMeOnce (~32,7 milyon yükleme).

🔒 Öneriler:

• Uzantıları güncelleyin.
• Otomatik doldurma özelliğini kapatın.
• Chromium’da on-click modunu etkinleştirin.

DOM tabanlı Uzantı Clickjacking yöntemiyle şifre yöneticilerinin tarayıcı uzantılarında sıfır-gün (0-day, zero-day) açıkları bulundu.

Saldırganlar, kullanıcının yalnızca bir tıklamasıyla:

• Kredi kartı bilgilerini,
• Kişisel verileri,
• Giriş bilgilerini,
• 2FA (TOTP) kodlarını çalabiliyor.

---

Geleneksel iframe tabanlı clickjacking yerine:

• Şifre yöneticilerinin tarayıcı uzantıları tarafından DOM’a eklenen arayüz öğeleri hedefleniyor.
• Bu öğeler görünmez hâle getirilip tıkanabilir biçimde kalıyor.
• JavaScript ile opaklık ve DOM yerleşimi kullanılarak sahte arayüzler oluşturuluyor.

Kullanıcılar, sahte “çerez onayı” veya “CAPTCHA” gibi arayüzlerde tıklama yaptıklarında, uzantı gizli formlara bilgileri otomatik dolduruyor.

11 popüler şifre yöneticisi test edildi. Örnekler:

• 1Password, Bitwarden, LastPass, Dashlane, Keeper, NordPass, ProtonPass, RoboForm, iCloud Passwords, Enpass, LogMeOnce

Bulgular:

• Hepsi en az bir varyanta karşı savunmasızdı.
• Yaklaşık 40 milyon aktif kullanıcı etkileniyor.
• 6/9 oranında kredi kartı bilgileri çalınabiliyor.
• 8/10 oranında kişisel bilgiler çalınabiliyor.
• 10/11 oranında giriş bilgileri ve TOTP kodları ele geçirilebiliyor.

✅ Yamalananlar:

• Dashlane
• Keeper
• NordPass
• ProtonPass
• RoboForm

❌ Hâlâ Savunmasız (Ağustos 2025 itibarıyla):

• 1Password
• Bitwarden
• LastPass
• iCloud Passwords
• Enpass
• LogMeOnce
• Bu uygulamalar yaklaşık 32.7 milyon kullanıcıyı etkilemekte.

🎯 Saldırı Senaryoları

• Saldırganlar kendi sitelerinde saldırıyı gerçekleştirebilir.
• Alt alan adı saldırısı (subdomain takeover):
  • XSS veya alt alan adı ele geçirme ile, kullanıcılar güvendikleri alan adları üzerinden hedeflenebilir.
  • Şifre yöneticileri genellikle tüm alt alan adlarda otomatik doldurma yaptığı için risk artıyor.

👥 Kullanıcılar İçin Güvenlik Önerileri

• Uzantı erişim izinlerini “tıklama üzerine” ayarlayın.
• Otomatik doldurmayı devre dışı bırakmayı düşünün (kullanım kolaylığı azalabilir).
• Uzantıların güncel versiyonlarını kullandığınızdan emin olun.

📌 Sonuç

• Bu açıklar, şifre yöneticilerinin tarayıcı uzantılarında daha güçlü güvenlik önlemlerine ihtiyaç olduğunu gösteriyor.
• Geliştiriciler tarafında kapsamlı güvenlik güncellemeleri gerekli.
• Kullanıcı farkındalığı ve güncel yazılım kullanımı, riskleri azaltmada kilit rol oynuyor.