クリックジャッキング
攻撃者が標的サイトを透明なiframeで偽のコンテンツの上に重ね、利用者に意図しない場所をクリックさせるUIリドレス攻撃。
利用者は攻撃者のページを操作しているつもりだが、実際には見えないiframe内の「アカウント削除」のようなボタンを押している。対策はX-Frame-Optionsヘッダー（DENY／SAMEORIGIN）でiframeへの埋め込みを禁じることで、現在はより柔軟なCSPの frame-ancestors ディレクティブが主流だ。古典的な例は、「ゲームを始める」ボタンの実体がAdobe Flashのカメラ許可ダイアログだったという手口である。TwitterやFacebookも過去に被害を出している。現代のサイトはX-Frame-OptionsとCSPの両方を返すのが普通だ。