Il polimorfismo lato server è una tecnica in cui il server web genera contenuti diversi per ogni richiesta, così lo stesso URL di phishing può restituire una nuova pagina ogni volta. L'obiettivo è rendere una landing page più difficile da identificare tramite hash dei file, marcatori HTML fissi o semplici firme degli script. Invece di servire una sola copia statica, l'attaccante modifica su richiesta elementi come testo, struttura, identificatori o codice incorporato.
Questo è importante perché molte difese si basano ancora sul riconoscimento di un campione noto come malevolo. Quando la pagina si trasforma lato server, uno scanner può vedere una versione mentre il visitatore successivo ne riceve un'altra, riducendo il valore dell'analisi una tantum e delle blocklist statiche. Negli attacchi reali, questo viene spesso usato per mantenere attive le pagine di raccolta delle credenziali e al tempo stesso ostacolare il rilevamento. I difensori reagiscono recuperando nuovamente gli URL sospetti, confrontando più risposte, renderizzando le pagine in un browser e ispezionando le destinazioni dei moduli e il comportamento invece del solo aspetto. L'MFA resistente al phishing limita ulteriormente i danni se le credenziali vengono catturate.