Come funziona
Esistono almeno due metodologie di attacco, a seconda che l'obiettivo primario sia il Server DNS dell'Internet Service Provider oppure direttamente il PC della vittima: 

Attacco al DNS dell'Internet Service Provider
Il malintenzionato, con sofisticate tecniche di intrusione, modifica gli abbinamenti tra il dominio e l'indirizzo IP corrispondente a quel dominio: gli utenti connessi a quel Provider così, pur digitando il corretto indirizzo URL, verranno inconsapevolmente reindirizzati ad un server trappola appositamente predisposto per carpire le informazioni

Attacco al PC della vittima
Con l'ausilio di programmi trojan o tramite altro accesso diretto, viene fatta una variazione nel personal computer della vittima.
Ad esempio, nei sistemi basati sul sistema operativo Windows, modificando il file "hosts" presente nella directory "C:\windows\system32\drivers\etc": qui possono essere inseriti o modificati gli abbinamenti tra il dominio interessato (p.es. paypal.com) e l'indirizzo IP corrispondente a quel dominio. Pur digitando il corretto indirizzo URL nel proprio browser, si verrà indirizzati verso un server appositamente predisposto per carpire informazioni.
Un altro metodo consiste nel modificare direttamente i server DNS predefiniti nel registro di sistema: così non si utilizzeranno più i DNS del proprio Internet Service Provider, bensì quelli alterati dal truffatore

In questo processo nulla può far ipotizzare di essere connessi ad un server trappola, se questo è perfettamente somigliante a quello vero.