Социальный фишинг (идентификация пользователей). Как работает?
На сайт вставляется скрытый виджет "Лайка" вконтакте, сгенерированный с помощью JS API.
Данный виджет постоянно находится под курсором, при нажатии JS API вызывает Event со всеми данными пользователя. Они отправляются пост запросом на сервер.
Чтобы скрыть факт кликджекинга от пользователя скрипт так же по координатам клика определяет объект, и вызывает его триггер клика.
https://habrahabr.ru/post/234067/ там в коментариях было описание как это работает.