स्पीयर फ़िशिंग किसी विशिष्ट व्यक्ति या समूह को निशाना बनाती है। सामान्य फ़िशिंग व्यापक स्तर पर की जाती है। स्पीयर फ़िशिंग में पहले से ही शोध किया जाता है। हमलावर व्यक्तियों के नाम, भूमिकाएँ, परियोजनाएँ और संबंध जान लेता है। फिर वह एक ऐसा संदेश तैयार करता है जो उनसे मेल खाता हो। उदाहरण के लिए, एक वित्त प्रबंधक को किसी परिचित विक्रेता से बिल मिलता है। एक इंजीनियर को GitHub से उस रिपॉज़िटरी के बारे में सूचना मिलती है जिस पर वह वास्तव में काम करता है। एक नए कर्मचारी को मानव संसाधन विभाग से ऑनबोर्डिंग ईमेल मिलता है। यह संदेश वास्तविक प्रतीत होता है क्योंकि यह वास्तविक विवरणों पर आधारित होता है।

स्पीयर फ़िशिंग को पहचानना सामान्य फ़िशिंग की तुलना में ज़्यादा मुश्किल होता है। इसकी भाषा सही होती है। भेजने वाला किसी ऐसे व्यक्ति का हैक किया हुआ अकाउंट हो सकता है जिसे टारगेट जानता हो। लिंक किसी असली दिखने वाले लॉगिन पेज पर ले जा सकता है। ईमेल फ़िल्टर काम नहीं करते क्योंकि मैसेज किसी जाने-माने संदिग्ध पैटर्न से मेल नहीं खाता। 2016 में डेमोक्रेटिक नेशनल कमेटी में हुई सेंधमारी की शुरुआत जॉन पोडेस्टा को भेजे गए एक स्पीयर फ़िशिंग ईमेल से हुई थी। हमलावरों ने गूगल होने का नाटक किया और उन्हें पासवर्ड बदलने की सूचना दी। उन्होंने क्लिक किया और उन्हें उनकी जानकारी मिल गई। बचाव के लिए सिर्फ़ फ़िल्टर ही काफ़ी नहीं हैं। इसके लिए सत्यापन की आदतें ज़रूरी हैं। भेजने वाले का असली पता देखें, न कि उसका डिस्प्ले नाम। लिंक पर क्लिक करने से पहले उस पर माउस ले जाएं। किसी भी संदिग्ध अनुरोध की पुष्टि किसी दूसरे चैनल से करें। स्पीयर फ़िशिंग इसलिए काम करती है क्योंकि यह व्यक्तिगत होती है। सत्यापन की आदतें इसलिए काम करती हैं क्योंकि वे व्यक्तिगत नहीं होतीं।

स्पीयर फ़िशिंग की विशेषताएं

• लक्षित — विशिष्ट व्यक्ति या छोटा समूह
• शोध किया गया — इसमें वास्तविक नामों, भूमिकाओं और परियोजनाओं का उपयोग किया गया है।
• वैयक्तिकृत — संदेश लक्षित व्यक्ति के संदर्भ के अनुरूप होता है
• विश्वसनीय प्रेषक — अक्सर किसी असुरक्षित खाते से
• फ़िल्टर करना मुश्किल है — यह सामान्य फ़िशिंग पैटर्न से मेल नहीं खाता।

स्पीयर फ़िशिंग में हमलावर अपना होमवर्क करता है। बचाव में, पीड़ित अपना होमवर्क करता है।