Der häufigste Fall ist Markenmissbrauch: Kopiert jemand Namen, Logo und Gestaltung Ihres Unternehmens für eine gefälschte Website, zeigt diese von Ihrer Firmen-IP aus eine saubere Fassung, während das Phishing-Formular für echte Nutzer erst sichtbar wird, wenn Sie wie ein gewöhnlicher Verbraucher wirken — mehr dazu auf unserer Seite zum Markenschutz-Proxy.
Phishing-Seiten sind zudem oft regionsspezifisch — eine gefälschte Bankseite zeigt ihr Formular für Kartendaten womöglich nur Besuchern aus dem Zielland und leitet alle anderen auf eine harmlose Seite weiter. Ohne Prüfung aus verschiedenen Ländern lässt sich nicht vollständig sagen, was die Seite tatsächlich tut und auf wen sie zielt.
Auch beim Sammeln von Threat Intelligence zählt die IP-Reputation: Anfragen aus dem IP-Bereich eines bekannten Sicherheitsanbieters fallen bösartiger Infrastruktur häufig auf und werden gesperrt oder mit anderen Inhalten beantwortet. Recherche aus einem breiten, gewöhnlich wirkenden IP-Pool hält die beobachteten Daten repräsentativ für die echte Angriffsinfrastruktur.