所謂“水坑攻擊”，是指黑客通過分析被攻擊者的網絡活動規律，尋找被攻擊者經常訪問的網站的弱點，先攻下該網站並植入攻擊代碼，等待被攻擊者來訪時實施攻擊。
水坑攻擊屬於APT攻擊的一種，與釣魚攻擊相比，黑客無需耗費精力制作釣魚網站，而是利用合法網站的弱點，隱蔽性比較強。在人們安全意識不斷加強的今天，黑客處心積慮地制作釣魚網站卻被有心人輕易識破，而水坑攻擊則利用了被攻擊者對網站的信任。水坑攻擊利用網站的弱點在其中植入攻擊代碼，攻擊代碼利用瀏覽器的缺陷，被攻擊者訪問網站時終端會被植入惡意程序或者直接被盜取個人重要信息。
水坑攻擊相對於通過社會工程方式引誘目標用戶訪問惡意網站更具欺騙性，效率也更高。水坑方法主要被用於有針對性的間諜攻擊，而Adobe Reader、Java運行時環境（JRE）、Flash和IE中的零日漏洞被用於安裝惡意軟件。
由於水坑攻擊的實現需要具備很多條件（比如被攻擊者訪問的網站存在漏洞，瀏覽器或者其他程序存在漏洞等），因此目前並不常見。通常情況下，攻擊低安全性目標以接近高安全性目標是其典型的攻擊模式。低安全性目標可能是業務合作伙伴、連接到企業網絡的供應商，或者是靠近目標的咖啡店內不安全的無線網絡。
目前多數網站使用的廣告網絡平台也是實施水坑攻擊的有效途徑。水坑攻擊可以通過攻擊目標網站使用的廣告網絡來執行。這涉及將惡意網站廣告，或者惡意廣告 （文字或圖片）插入到將被傳送到不同網站的跳轉廣告。由於大部分網站都使用同一廣告網絡，因此布設攻擊網絡時可以達到事半功倍的效果。