Le typosquattage consiste à enregistrer des noms de domaine ressemblant beaucoup à un domaine légitime — en exploitant des fautes de frappe courantes (« gooogle.com »), des caractères intervertis, des extensions différentes, ou des lettres visuellement similaires (« rn » pour « m », un « а » cyrillique pour un « a » latin). Le but est de piéger les utilisateurs qui saisissent mal une URL ou ne remarquent pas la différence, en les envoyant vers une page contrôlée par l'attaquant.
Ces domaines sosies sont un pilier de l'hameçonnage, du vol d'identifiants et de l'usurpation de marque. Pour les enquêteurs, le typosquattage est à la fois une menace à détecter et une piste à suivre : énumérer les sosies autour d'une marque, puis vérifier leurs enregistrements WHOIS et leur infrastructure DNS, peut révéler l'ampleur d'une campagne d'hameçonnage et relier plusieurs domaines malveillants à un même opérateur.