Attacco watering hole
Compromettere un sito web che il bersaglio visita regolarmente, invece di attaccare il bersaglio direttamente. Come il leone che aspetta alla pozza d'acqua.
Caso celebre: la campagna VOHO (2012) compromise siti di settore e governativi per colpire dipendenti della difesa, dell'energia e della ricerca. Il sito di Forbes fu usato nel 2014 contro il settore finanziario. Attacchi a Safari su iOS contro gli uiguri tramite siti religiosi compromessi (Google Project Zero, 2019). Difese: aggiornamenti aggressivi, isolamento del browser (Cloudflare Browser Isolation e simili), Lockdown Mode su iOS, separazione del traffico di «navigazione» dai sistemi sensibili.