Le spear phishing cible une personne ou un groupe spécifique. Le phishing générique, quant à lui, ratisse large. Le spear phishing effectue des recherches approfondies. L'attaquant se renseigne sur les noms, les rôles, les projets et les relations de sa cible. Il conçoit ensuite un message adapté. Un responsable financier reçoit une facture d'un fournisseur connu. Un ingénieur reçoit une notification GitHub concernant un dépôt sur lequel il travaille. Un nouvel employé reçoit un courriel d'intégration des ressources humaines. Le message paraît authentique car il repose sur des informations réelles.

L'hameçonnage ciblé est plus difficile à détecter que l'hameçonnage classique. Le langage est approprié. L'expéditeur peut être un compte compromis appartenant à une personne connue de la cible. Le lien peut pointer vers une page de connexion d'apparence légitime. Les filtres anti-spam peinent à le détecter car le message ne correspond à aucun schéma d'attaque connu. La cyberattaque de 2016 contre le Comité national démocrate a commencé par un courriel d'hameçonnage ciblé adressé à John Podesta. Les attaquants se sont fait passer pour Google afin de l'informer d'un changement de mot de passe. Il a cliqué. Ils ont obtenu ses identifiants. La défense exige plus que des filtres. Elle exige des habitudes de vérification. Vérifiez l'adresse réelle de l'expéditeur, et non son nom d'affichage. Survolez les liens avec votre souris avant de cliquer. Confirmez les demandes inhabituelles par un canal distinct. L'hameçonnage ciblé fonctionne car il est personnalisé. Les habitudes de vérification fonctionnent car elles ne le sont pas.

caractéristiques du spear phishing

• Ciblé — un individu ou un petit groupe spécifique
• Recherche effectuée — utilise de vrais noms, rôles et projets
• Personnalisé — le message est adapté au contexte de la cible
• Expéditeur de confiance — souvent depuis un compte compromis
• Difficile à filtrer — ne correspond pas aux schémas d'hameçonnage génériques

Le spear phishing, c'est l'attaquant qui prépare son coup. La défense, c'est la cible qui prépare le sien.