Atak wykorzystuje to, że ofiara jest zalogowana w atakowanym serwisie. Według Jeremiaha Grossmana nie da się zmusić użytkownika do działania w serwisie, w którym nie jest zalogowany. Clickjacking może posłużyć m.in. do włączenia kamery internetowej lub mikrofonu ofiary, skierowania jej na stronę ze złośliwą zawartością albo do kliknięcia „kup” zamiast „anuluj” w sklepie internetowym.
Historia Sam typ ataku był znany od lat, ale nie uważano go za szczególnie groźny – eksperci sądzili, że może posłużyć np. do oszustw na kliknięciach w reklamy. Termin clickjacking wprowadzili Robert Hansen i Jeremiah Grossman w opracowaniu opublikowanym we wrześniu 2008 roku. Badacze planowali przedstawić na konferencji OWASP AppSec 2008 w Nowym Jorku podatności tego typu dotyczące wszystkich głównych przeglądarek internetowych. Przygotowany przez nich kod ujawniał jednak błąd w jednym z produktów firmy Adobe i na jej prośbę badacze odwołali wystąpienie.