これは演習用の「攻撃者が用意したサイト」です（オリジン: trap.y-omasa.work）。 本物の攻撃者は、正規サイトと無関係なこのようなページを使います。

攻撃デモの一覧

• CSRF の罠ページ — 開くだけで lab のメッセージが書き換わる（対策OFF時）

先に lab の標的ページ を開いて 「ログイン中」にしておくこと。