Half-click è un modello di attacco in cui è sufficiente aprire un messaggio, visualizzarne l'anteprima o lasciare che un client di posta lo renda per attivare codice malevolo o uno sfruttamento lato browser. A differenza del phishing classico, non dipende dal fatto che la vittima clicchi su un link, scarichi un file o abiliti una macro. Lo sfruttamento viene attivato dall'atto stesso di visualizzare il messaggio.
Questo è importante perché trasforma il lettore di posta nella superficie di attacco. Negli ambienti di webmail e nei client ricchi, contenuti controllati dall'attaccante possono essere elaborati all'interno di una sessione autenticata, esponendo cookie, dati della casella di posta o stato della sessione se è presente una vulnerabilità come il cross-site scripting. I difensori riducono il rischio di half-click con rendering sicuro, filtraggio dei contenuti, patch, sandboxing e trattando l'anteprima dei messaggi come input potenzialmente pericoloso anziché come testo passivo.