B_A_D_
Если в браузере не отрезана возможность делать запросы на левые домены, то может быть абсолютно любая хрень, включая и описанный Annes кликджекинг. Тут только препарировать.