Spear phishing is een bijzonder verraderlijke en gerichte vorm van phishing. In tegenstelling tot wijdverspreide massa-e-mails richt deze methode zich op individuen binnen een bedrijf. Aanvallers doen vooraf uitgebreid onderzoek: ze analyseren de communicatiestijl, het bedrijfsontwerp en de organisatiestructuur van het bedrijf. Ze identificeren specifiek medewerkers wiens rol toegang biedt tot gevoelige informatie of financiële bronnen, en verzamelen ook persoonlijke gegevens – zoals interesses, hobby’s of professionele stations – via platforms zoals LinkedIn, Xing of sociale netwerken.
De aanvallers gebruiken deze informatie om misleidend echte, gepersonaliseerde berichten te creëren – vaak schijnbaar in naam van superieuren, collega’s of zakenpartners. Het doel is het vertrouwen van het slachtoffer te winnen om hen te overtuigen vertrouwelijke informatie te onthullen, overdrachten uit te voeren of kwaadaardige bijlagen of links te openen. Omdat de aanvallen individueel zijn afgestemd, zijn ze vaak moeilijk te herkennen als nep en daardoor bijzonder gevaarlijk.