CSRF (cross-site request forgery)

Cookie SameSite: SameSite=Lax или Strict не дают отправлять cookie со сторонними запросами.
Токен CSRF: секретное значение в форме, известное только настоящей странице.

Коротко: При CSRF злоумышленник заставляет браузер вошедшего в систему пользователя выполнить на другом сайте нежелательное действие, например перевод.

Подробнее: Браузер автоматически отправляет cookie с каждым запросом на целевой адрес. Подготовленная страница может так отправить скрытую форму на сайт банка, и банк сочтёт запрос подлинным.