El spear phishing se dirige a una persona o grupo específico. El phishing genérico abarca un público amplio. El spear phishing investiga. El atacante aprende nombres, roles, proyectos y relaciones. Luego, elabora un mensaje que encaja. Un gerente financiero recibe una factura de un proveedor conocido. Un ingeniero recibe una notificación de GitHub sobre un repositorio en el que trabaja. Un nuevo empleado recibe un correo electrónico de bienvenida de Recursos Humanos. El mensaje parece real porque se basa en detalles reales.

El spear phishing es más difícil de detectar que el phishing genérico. El lenguaje es correcto. El remitente puede ser una cuenta comprometida de alguien conocido por la víctima. El enlace puede dirigir a una página de inicio de sesión de apariencia legítima. Los filtros de correo electrónico tienen dificultades porque el mensaje no coincide con patrones maliciosos conocidos. La filtración del Comité Nacional Demócrata de 2016 comenzó con un correo electrónico de spear phishing dirigido a John Podesta. Los atacantes se hicieron pasar por Google para notificarle sobre un cambio de contraseña. Él hizo clic y obtuvieron sus credenciales. La defensa requiere más que filtros; requiere hábitos de verificación. Compruebe la dirección real del remitente, no el nombre que se muestra. Pase el cursor sobre los enlaces antes de hacer clic. Confirme las solicitudes inusuales a través de un canal independiente. El spear phishing funciona porque es personalizado; los hábitos de verificación funcionan porque no lo son.

Características del spear phishing

• Dirigido a: un individuo específico o un grupo pequeño.
• Investigación realizada: utiliza nombres, roles y proyectos reales.
• Personalizado: el mensaje se adapta al contexto del destinatario.
• Remitente de confianza: a menudo desde una cuenta comprometida.
• Difícil de filtrar: no coincide con los patrones genéricos de phishing.

El spear phishing consiste en que el atacante haga su tarea. La defensa consiste en que la víctima haga la suya.