Spear phishing menargetkan orang atau kelompok tertentu. Phishing generik menjangkau banyak orang. Spear phishing melakukan riset. Penyerang mempelajari nama, peran, proyek, dan hubungan. Kemudian mereka membuat pesan yang sesuai. Seorang manajer keuangan menerima faktur dari vendor yang dikenal. Seorang insinyur menerima notifikasi GitHub tentang repositori yang sebenarnya mereka kerjakan. Seorang karyawan baru menerima email orientasi dari HR. Pesan tersebut tampak nyata karena dibangun berdasarkan detail nyata.

Spear phishing lebih sulit dideteksi daripada phishing generik. Bahasa yang digunakan tepat. Pengirim mungkin merupakan akun yang diretas milik seseorang yang dikenal target. Tautan mungkin mengarah ke halaman login yang tampak sah. Filter email kesulitan karena pesan tersebut tidak sesuai dengan pola buruk yang dikenal. Pelanggaran data Komite Nasional Demokrat tahun 2016 dimulai dengan email spear phishing kepada John Podesta. Para penyerang berpura-pura menjadi Google yang memberitahunya tentang perubahan kata sandi. Dia mengklik tautan tersebut. Mereka mendapatkan kredensialnya. Pertahanan membutuhkan lebih dari sekadar filter. Pertahanan membutuhkan kebiasaan verifikasi. Periksa alamat pengirim yang sebenarnya, bukan nama tampilan. Arahkan kursor ke tautan sebelum mengklik. Konfirmasikan permintaan yang tidak biasa melalui saluran terpisah. Spear phishing berhasil karena bersifat personal. Kebiasaan verifikasi berhasil karena tidak bersifat personal.

Karakteristik spear phishing

• Bertarget — individu atau kelompok kecil tertentu
• Berdasarkan riset — menggunakan nama, peran, dan proyek nyata.
• Dipersonalisasi — pesan sesuai dengan konteks target.
• Pengirim tepercaya — seringkali dari akun yang telah diretas.
• Sulit difilter — tidak sesuai dengan pola phishing umum.

Spear phishing adalah ketika penyerang melakukan riset. Sedangkan pertahanan adalah ketika target melakukan riset mereka.