Un mirror domain è un dominio secondario che offre gli stessi contenuti o contenuti simili a quelli di un'altra fonte. In un uso legittimo, i mirror aiutano con il bilanciamento del carico, l'accesso regionale, i backup o la distribuzione dei contenuti. Nel lavoro di sicurezza, il termine è importante perché un mirror può anche diventare un punto di esposizione separato: se pubblica file direttamente a un browser, può presentare pagine, risorse o download senza i controlli che i difensori si aspettano sul sito principale.
Gli aggressori possono abusare dei mirror domain per ospitare pagine di phishing, schermate di accesso clonate o richieste di verifica che appaiono ordinarie e affidabili. Poiché il contenuto è replicato da una fonte nota, gli utenti possono essere meno sospettosi e le difese automatizzate possono trattare il dominio come infrastruttura ordinaria. I difensori dovrebbero monitorare i contenuti replicati per individuare HTML inatteso, reindirizzamenti insoliti e pagine rivolte al browser su domini che dovrebbero distribuire solo file. Un mirror domain non è intrinsecamente malevolo, ma può trasformare un'infrastruttura affidabile in una superficie di distribuzione efficace.