Un lure domain è un dominio web usato come punto di contatto iniziale in una catena di distribuzione malevola. È progettato per sembrare abbastanza innocuo da ricevere un clic, caricare una pagina o attivare un reindirizzamento, per poi indirizzare la vittima verso l'hosting del payload, il furto di credenziali o l'infrastruttura di command-and-control. In pratica, il lure domain è la porta d'ingresso, non la destinazione finale.
Questo è importante perché spesso i difensori bloccano ciò che riescono a vedere per primo. Gli attaccanti usano i lure domain per ruotare l'infrastruttura visibile mantenendo intatto il resto della campagna. Una singola campagna può sostituire frequentemente i lure domain, ma riutilizzare gli stessi hosting, certificati, logiche di reindirizzamento o intervalli di rete sottostanti. Per la difesa, ciò significa cercare schemi condivisi, non solo URL malevoli: la cronologia DNS, la proprietà ASN, il comportamento dei nameserver, le impronte TLS e le catene di reindirizzamento possono rivelare domini collegati e aiutare a fermare il prossimo lure prima che raggiunga la fase del payload.