Clickjacking, postMessage, Tabnabbing tấn công qua iframe. Phòng tránh với X-Frame-Options, CSP, rel noopener hiệu quả.