定向網路釣魚攻擊針對特定個人或群體，而通用網路釣魚攻擊則撒下大網。定向網路釣魚會進行調查研究，攻擊者會了解目標人物的姓名、職位、專案和人際關係，然後精心砲制與之相符的資訊。例如，財務經理收到來自已知供應商的發票；工程師收到他們正在參與開發的GitHub程式碼庫的通知；新員工收到人力資源部門的入職郵件。這些資訊看起來真實可信，是因為它們是基於真實資訊建構而成。

魚叉式網路釣魚比一般網路釣魚更難偵測。它的語言聽起來很專業。寄件者可能是目標認識的人的被盜帳戶。連結可能指向一個看似合法的登入頁面。由於郵件內容不符合已知的惡意模式，電子郵件過濾器很難辨識。 2016 年民主黨全國委員會的資料外洩事件就是從一封發給約翰·波德斯塔的魚叉式網路釣魚郵件開始的。攻擊者偽裝成谷歌，通知他更改密碼。他點擊了郵件，攻擊者竊取了他的登入憑證。防禦魚叉式網路釣魚需要的不只是過濾器，還需要養成良好的驗證習慣。檢查寄件者的實際地址，而不是顯示名稱。點擊連結前將滑鼠懸停在連結上。透過其他管道確認異常請求。魚叉式網路釣魚之所以有效，是因為它是個人化的。而驗證習慣之所以有效，是因為它具有普遍性。

魚叉式網路釣魚的特徵

• 針對特定個人或小組
• 經過研究——使用真實姓名、角色和項目
• 個人化－訊息符合目標受眾的脈絡
• 可信賴寄件者－通常來自已被盜用的帳戶
• 難以過濾－不符合通用的網路釣魚模式

魚叉式網路釣魚是攻擊者事先做好功課，而防禦則是目標方做好自己的準備。