スピアフィッシングは特定の個人またはグループを標的とします。一般的なフィッシングは広範囲に及びます。スピアフィッシングは事前の調査を行います。攻撃者は名前、役割、プロジェクト、関係性などを把握し、それに合ったメッセージを作成します。例えば、財務マネージャーには既知のベンダーからの請求書が届き、エンジニアには実際に作業しているリポジトリに関するGitHub通知が届き、新入社員には人事部から入社案内メールが届きます。これらのメッセージは実際の情報に基づいて作成されているため、本物のように見えます。

スピアフィッシングは、一般的なフィッシングよりも検出が困難です。文面は正確です。送信者は、ターゲットが知っている人物の侵害されたアカウントである可能性があります。リンクは、正規のログインページに見えるかもしれません。メールフィルタは、メッセージが既知の悪質なパターンと一致しないため、検出に苦労します。2016年の民主党全国委員会の情報漏洩は、ジョン・ポデスタ氏へのスピアフィッシングメールから始まりました。攻撃者は、Googleを装ってパスワード変更を通知しました。ポデスタ氏はクリックし、認証情報を入手しました。防御にはフィルタ以上のものが必要です。検証習慣が必要です。表示名ではなく、送信者の実際のアドレスを確認してください。リンクをクリックする前に、カーソルをリンクの上に置いてください。不審な要求は別のチャネルを通じて確認してください。スピアフィッシングはパーソナライズされているため効果を発揮しますが、検証習慣はパーソナライズされていないため効果を発揮します。

スピアフィッシングの特徴

• 対象を絞った — 特定の個人または小グループ
• 調査済み ― 実名、役職、プロジェクトを使用
• パーソナライズされたメッセージ ― メッセージの対象となる人の状況に合致している
• 信頼できる送信者 ― 多くの場合、侵害されたアカウントからのもの
• フィルタリングが困難 ― 一般的なフィッシングパターンに一致しない

スピアフィッシングとは、攻撃者が入念な準備をすることであり、防御とは、標的側が入念な準備をすることである。