Clickjacking
Ataque de UI-redress: el atacante superpone un iframe transparente del sitio objetivo sobre un contenido falso. La víctima cree que pulsa la página del atacante cuando en realidad hace clic en un iframe invisible (p. ej. el botón «Eliminar cuenta» en facebook.com).
Defensa: la cabecera X-Frame-Options (DENY/SAMEORIGIN), con la que el servidor le dice al navegador que no permita incrustar la página en un iframe. Moderna: la directiva frame-ancestors de CSP (más flexible que X-Frame-Options). Ejemplo clásico de la época sin mitigaciones: el permiso de cámara de Adobe Flash disfrazado de «pulsa para jugar» que en realidad activaba la webcam. Twitter y Facebook han tenido fallos de clickjacking históricamente. En la web actual todos los sitios serios envían X-Frame-Options + CSP frame-ancestors. SAMEORIGIN solo permite incrustar desde el mismo origen (útil para portales internos).