Tactique dans laquelle un attaquant compromet un site web légitimement fréquenté par sa cible pour l'infecter à son insu, plutôt que d'attaquer sa victime directement.
L'expression watering hole est empruntée à l'image du prédateur qui attend ses proies autour d'un point d'eau, lieu de passage obligé. Apparue dans la littérature de sécurité vers 2012, elle décrit une technique de compromission indirecte particulièrement efficace contre des cibles très protégées en accès direct, comme des administrations, des industriels de défense ou des instituts de recherche, dont les employés fréquentent néanmoins des sites sectoriels moins bien sécurisés, forums professionnels, associations sectorielles, sites d'organismes de normalisation. L'attaquant choisit et compromet ces sites intermédiaires, y injecte un code malveillant, un drive-by download ou un exploit de navigateur, et attend que la cible vienne à lui. La technique est attribuée notamment au groupe APT1 et au groupe Elderwood, qui ont ciblé des industriels de la défense américains via des sites de sous-traitants. Elle est difficile à détecter car l'employé infecté a effectué une action parfaitement normale, visiter un site professionnel légitime, et l'infection peut exploiter une faille zero-day qui ne déclenche aucune alerte. Pour les assureurs, les attaques par point d'eau illustrent la limite de la notion de périmètre défensif : la chaîne de compromission débute hors du réseau de l'assuré, ce qui pose des questions sur la couverture des dommages initiés par des tiers non contractants de la police.
En 2013, Apple, Facebook, Microsoft et Twitter ont été compromis via un forum pour développeurs iOS que leurs ingénieurs fréquentaient régulièrement. Le site avait été piégé avec un exploit Java zero-day. Aucune tentative de phishing ciblant directement les employés n'avait été nécessaire.
watering hole, point d'eau, attaque par compromission de site tiers, strategic web compromise