CSRF (cross-site request forgery)

Cookie SameSite: SameSite=Lax або Strict не дають надсилати cookie зі сторонніми запитами.
Токен CSRF: секретне значення у формі, відоме лише справжній сторінці.

Коротко: За CSRF зловмисник змушує браузер користувача, що ввійшов у систему, виконати на іншому сайті небажану дію, наприклад переказ.

Докладніше: Браузер автоматично надсилає cookie з кожним запитом на цільову адресу. Підготовлена сторінка може так надіслати приховану форму на сайт банку, і банк вважатиме запит справжнім.