Clickjacking
Ataque de UI redress: o atacante sobrepõe um iframe transparente do site alvo em cima de um conteúdo falso. A vítima acha que está clicando na página do atacante, mas na verdade clica dentro do iframe invisível (ex.: o botão "Excluir conta" do facebook.com).
Defesa: cabeçalho X-Frame-Options (DENY/SAMEORIGIN) — o servidor diz ao navegador para não permitir a incorporação em iframe. Versão moderna: a diretiva CSP frame-ancestors (mais flexível que X-Frame-Options). Exemplo clássico da era pré-mitigação: a permissão de câmera do Adobe Flash com "clique para jogar", que na verdade ativava a webcam. Twitter e Facebook já tiveram vulnerabilidades de clickjacking historicamente. Web moderna: todo site atual envia X-Frame-Options + CSP frame-ancestors. SAMEORIGIN permite incorporação só a partir da mesma origem (útil para portais internos).