Webページのボタンやバナーのクリック操作を悪用し、透明レイヤーを使うなど、ユーザーに気付かれないような仕掛けを施して仕掛けた側の意図に沿った操作をさせる攻撃手法。

信頼の置けるWebサイトであれば、そのページに配置されているボタンやバナー、リンクURLなどをクリックしても、表示内容や意図通りの結果が起こる。

「クリックジャック」は、そうしたインターネット上における習慣を逆手に取ってユーザーに何げなく「クリック」という動作を行わせて、その結果、利用者の意図しない操作を行わせる（＝乗っ取る＝ジャックする）。

例えば、以下のような被害が確認されている。

• ユーザーが見えているのとは異なる広告ページのURLのクリックをさせられる
• 意図しない掲示板への書き込みをさせられる
• したつもりのないSNSなどのサービスにおける「いいね」のクリックをさせられる
• 望んでいないのにSNSなどのサービスの退会処理をさせられる

仕組みとしてはHTMLの知識があれば簡単なものである。

1)利用者をだますためのページ(A)を用意しておき、iframe（インライン・フレーム、Webページの中に別のページの内容を入れ込むことができるタグのこと）の要素に読み込ませたページ(B)を（A）のページ内に表示する。

2)（A）のページにあるボタンAと、（B）のページにあるボタンBが重なるようにiframeの位置を調整する。

3)最後に（B）を読み込んでいるiframeをスタイルシートを使って透明化すれば準備完了でる。