ErBlask non penso che fibraclick si faccia bucare tanto facilmente
Non essendoci una Content-Security-Policy, fibra.click non pone limitazioni sui contenuti di terze parti che possono essere incorporati nella pagina.
Supponendo un bug di questo tipo, penso sia possibile includere in un commento il link fingendo che sia una immagine da visualizzare per far scattare l'operazione.
La funzionalità Cross-Origin Read Blocking del browser non permetterebbe di ottenere una risposta ma il danno sarebbe compiuto.
Notare che modificare lo stato del server (quello del Fritz) tramite GET non sarebbe conforme agli standard.
EDIT: chiarisco, fibra.click non ha alcuna colpa né coinvolgimento. Spiego solo come possa essere stato sfruttato il bug.
