Beim Spearphishing handelt es sich um gezieltes Phishing mit gefälschten E-Mails. Einzelne Mitarbeiter eines Unternehmens sollen dazu verleitet werden, vertrauliche Informationen oder Benutzerdaten offenzulegen.
Während Angreifer beim Phishing massenhaft und ziellos E-Mails versenden, gehen sie beim Spearphishing ganz gezielt im kleinen Rahmen vor. Der Angreifer sendet E-Mails an ausgesuchte Mitarbeiter eines bestimmten Unternehmens. Diese E-Mails erwecken oft den Eindruck, sie kämen von einem anderen Mitarbeiter desselben Unternehmens. Sie enthalten die Bitte, einen Benutzernamen oder ein Passwort zu bestätigen.
Manchmal stammen die E-Mails scheinbar
von einer Abteilung, die solche Informationen tatsächlich anfragen könnte, zum Beispiel von
der IT- oder der Personalabteilung. Links in den E-Mails leiten dann zu einer gefälschten Version der Unternehmenswebsite oder des Intranets weiter, wo dann Benutzerdaten gestohlen werden. (siehe E-Mail-Malware)
Quelle: Sophos