Bij het lokken van een slachtoffer wordt iets aantrekkelijks aangeboden om hem of haar ertoe te verleiden zichzelf te compromitteren. Een klassiek voorbeeld is een USB-stick die op een parkeerplaats is achtergelaten. Iemand raapt hem op, steekt hem uit nieuwsgierigheid in het stopcontact, en vervolgens installeert de stick malware. Onderzoekers hebben dit experiment talloze malen uitgevoerd. Een groot deel van de achtergelaten sticks wordt daadwerkelijk aangesloten. De malware kan een keylogger, een tool voor toegang op afstand of een script zijn dat inloggegevens steelt.

Digitale lokmethoden werken op dezelfde manier. Gratis filmdownloads die malware installeren. Nep-softwarecracks die trojans bevatten. Pop-upadvertenties die een gratis telefoon aanbieden in ruil voor het invullen van een enquête. De lokmethode hoeft niet voor iedereen geloofwaardig te zijn. Het hoeft maar een paar mensen te vangen. Lokmethoden gaan vaak gepaard met andere social engineering-technieken. Een phishing-e-mail biedt een gratis cadeaubon en een link aan. De link leidt naar een pagina waar om inloggegevens wordt gevraagd. De aanvaller heeft nu zowel de inloggegevens als het vertrouwen van het slachtoffer. Verdediging bestaat voornamelijk uit bewustwording en beleid. Sluit geen onbekende apparaten aan. Download geen software van onofficiële bronnen. Vul geen formulieren in die gratis beloningen beloven.

Veelgebruikte loktactieken

• USB-sticks die op parkeerterreinen of in lobby's zijn achtergelaten.
• Gratis downloads die malware bevatten
• Valse prijsmeldingen en enquêtes
• Peer-to-peer bestandsdeling met geïnfecteerde bestanden

Nieuwsgierigheid is de kwetsbaarheid. Aanvallers buiten die uit omdat ze betrouwbaar is.