CSRF攻撃者はこのブラウザの自動送信の性質を悪用します。ユーザーがログインした状態のまま、攻撃者が作成した罠サイト（悪意あるJavaScriptや自動送信フォームが埋め込まれたページ）にアクセスすると、罠サイトからターゲットのWebサービス（例：SNSや銀行）に向けて、パスワード変更や送金手続きといったリクエストが勝手に送信されます。ブラウザは自動的に「ログイン状態を示すCookie」を添付して送信するため、Webサービス側は「ログイン中の正規のユーザー自身が自分の意志で操作を行った」と判断し、不正なリクエストを実行してしまいます。
XSS（クロスサイトスクリプティング）との違いとして、XSSは被害者のブラウザ上でJavaScriptを実行して情報を盗み取る攻撃であるのに対し、CSRFは情報を直接盗み取るのではなく、被害者の「ログイン権限」を勝手に借りて、別のサイトから不正な指示を送り込む攻撃であるという点が挙げられます。