Jednym z najbardziej znanych przykładów był atak na stronę ustawień wtyczki Adobe Flash. Wczytana w niewidocznej ramce, pozwalała nakłonić użytkownika do zmiany ustawień bezpieczeństwa i udzielenia dowolnej animacji Flash dostępu do mikrofonu i kamery komputera. W lutym 2009 roku technikę wykorzystano w serii żartobliwych ataków na Twitterze – użytkownicy klikający przycisk „Don't Click” nieświadomie rozsyłali wpis wszystkim obserwującym, dzięki czemu szybko się on rozprzestrzeniał. Znane są też ataki nakłaniające zalogowanych użytkowników Facebooka do nieświadomego oznaczania stron, odnośników i grup przyciskiem „Lubię to”.
Ochrona Podstawową ochroną jest zablokowanie osadzania strony w ramkach na innych stronach. Służy do tego dyrektywa frame-ancestors nagłówka Content Security Policy – wartość 'none' uniemożliwia osadzenie strony w ramce na jakiejkolwiek stronie, a 'self' dopuszcza tylko strony tej samej witryny. Starszy nagłówek X-Frame-Options z wartościami DENY i SAMEORIGIN został zastąpiony przez frame-ancestors, ale nadal stosuje się go dla zgodności ze starszymi przeglądarkami. Oba mechanizmy działają wyłącznie jako nagłówki odpowiedzi HTTP, a nie jako znaczniki meta.