Expertos de ESET Latinoamérica explican el funcionamiento de este método que roba datos mediante interacciones engañosas en sitios legítimos.

Mecanismo del doubleclickjacking

Los ataques de doubleclickjacking, identificados como una tendencia emergente en 2025, explotan la acción de realizar dobles clics para autorizar pagos o transferencias. A diferencia de métodos convencionales, este enfoque utiliza páginas web genuinas intervenidas mediante vulnerabilidades no parcheadas. Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica, detalla que los cibercriminales insertan elementos maliciosos entre el primer y segundo clic del usuario.

Técnica del iframe invisible

El método se basa en un iframe invisible que superpone botones o enlaces fraudulentos sobre componentes legítimos. Por ejemplo, al realizar un test en línea, la víctima hace clic en “Ver resultado”, pero un segundo clic inadvertido activa un botón oculto que confirma el acceso a una red social. Esta estratagema evade sistemas de seguridad tradicionales al operar en plataformas auténticas.

Diferencias clave con el clickjacking

Mientras el clickjacking tradicional engaña con un solo clic en elementos camuflados —como activar una transferencia al pretender dar “Me gusta”—, el doubleclickjacking requiere dos interacciones. La primera prepara el entorno y la segunda ejecuta la acción maliciosa. Esta complejidad permite evadir protecciones de navegadores diseñadas para ataques de un único clic.

Consecuencias potenciales para los usuarios

• Robo de cuentas: Aprobación de inicios de sesión no autorizados en redes sociales o correos electrónicos.
• Transacciones fraudulentas: Autorización de compras o transferencias bancarias sin consentimiento.
• Infección con malware: Instalación de ransomware o activación remota de cámaras y micrófonos.

Medidas preventivas recomendadas

ESET sugiere tres acciones fundamentales para mitigar riesgos:

• Actualizar sistemas operativos y navegadores para corregir vulnerabilidades explotables.
• Verificar mensajes de confirmación inesperados o ventanas emergentes con solicitudes de doble clic.
• Capacitarse en técnicas actualizadas de ciberataques mediante recursos especializados.