O spear phishing tem como alvo uma pessoa ou grupo específico. O phishing genérico, por sua vez, abrange um público alargado. O spear phishing realiza pesquisas. O atacante obtém informações sobre nomes, cargos, projetos e relações. De seguida, elabora uma mensagem que se encaixa perfeitamente. Um gestor financeiro recebe uma fatura de um fornecedor conhecido. Um engenheiro recebe uma notificação do GitHub sobre um repositório no qual realmente trabalha. Um novo colaborador recebe um e-mail de boas-vindas dos RH. A mensagem parece real porque é baseada em detalhes reais.

O spear phishing é mais difícil de detetar do que o phishing genérico. A linguagem é correta. O remetente pode ser uma conta comprometida de alguém que o alvo conhece. O link pode apontar para uma página de login com um aspeto legítimo. Os filtros de e-mail têm dificuldades porque a mensagem não corresponde a padrões maliciosos conhecidos. A violação de dados do Comité Nacional Democrata em 2016 começou com um e-mail de spear phishing enviado a John Podesta. Os atacantes fingiram ser a Google, notificando-a sobre uma alteração de palavra-passe. Ele clicou. Eles obtiveram as suas credenciais. A defesa exige mais do que filtros. Exige hábitos de verificação. Verifique o endereço real do remetente, e não o nome de utilizador. Passe o cursor sobre os links antes de clicar. Confirme pedidos invulgares através de um canal separado. O spear phishing funciona porque é personalizado. Os hábitos de verificação funcionam porque não são.

Características do spear phishing

• Direcionado — indivíduo específico ou pequeno grupo
• Pesquisado — utiliza nomes, funções e projetos reais.
• Personalizado — a mensagem adapta-se ao contexto do destinatário.
• Remetente fiável — geralmente de uma conta comprometida.
• Difícil de filtrar — não corresponde a padrões genéricos de phishing.

O spear phishing é o atacante a fazer o seu trabalho de casa. A defesa é o alvo a fazer a sua.