Que demuestra: si la web real se ve dentro del recuadro, es que SE PUEDE incrustar en cualquier pagina ajena (clickjacking). Falta la cabecera que lo impide.

Que haria un atacante (aqui NO se hace): encima pondria un boton o un aviso de "nuevo numero de WhatsApp" para que el cliente le escriba a el creyendo que es Milla Privada. Aqui solo hay carteles de TEST.

Arreglo (.htaccess de Hostinger):
Header always set X-Frame-Options "SAMEORIGIN"
Header always set Content-Security-Policy "frame-ancestors 'self'"

Con el arreglo, el recuadro saldra vacio o con "rechazado a conectar".