Il DNS spoofing (o cache poisoning) consiste nel far accettare a un resolver una risposta DNS falsa: da quel momento chi chiede banca.it riceve l'IP dell'attaccante, e la cache avvelenata distribuisce l'inganno a tutti gli utenti di quel resolver. Varianti locali: router compromessi che cambiano i DNS, file hosts modificati dal malware.
Le difese, per strato: DNSSEC firma le risposte per le zone che lo adottano (l'autenticità diventa verificabile), DoH/DoT cifra il tragitto verso il resolver (niente manomissioni in transito), e il TLS fa da ultima rete: anche arrivando al server sbagliato, il certificato di banca.it l'attaccante non ce l'ha – salvo utenti che cliccano "procedi comunque". Per chi gestisce domini: DNSSEC si abilita dal provider, e la configurazione versionata evita i pasticci.