一些網路釣魚詐騙會傳送給數百萬人，希望其中有人會上鉤，但魚叉式網路釣魚攻擊只針對單個目標，並且可能非常有說服力。
閱讀本文後，您將能夠：
複製文章連結
網路釣魚是一個廣泛的詞彙，表示旨在欺騙受害者分享敏感性資訊的攻擊，而魚叉式網路釣魚是一種針對單一目標的網路釣魚攻擊，目標可以是個人、組織或企業。
魚叉式網路釣魚攻擊特別有效，因為攻擊者可以使用有關受害者的資訊（通常是在網上找到的公開資訊），來製造一個令人信服的詭計。
大多數的網路釣魚攻擊並非直接針對特定目標。通常，網路釣魚訊息會以大量方式傳送給盡可能多的人，攻擊者寄希望於其中少數人會上當。這是執行網路釣魚攻擊最便宜也最快速的方式。攻擊者可能會運用某種程度的自動化與個人化技巧，尤其是利用 AI，但針對單一個人或組織進行額外客製化，通常並不屬於典型的大量釣魚攻擊活動的一部分。
相較之下，魚叉式網路釣魚所需的調查與個人化工作（通常也需要更多資金）比一般網路釣魚攻擊更多。正因如此，魚叉式網路釣魚攻擊相對較少見。然而，這類攻擊的成功率非常高。而且一旦成功，它們對目標造成的損害也要大得多。
魚叉式網路釣魚者使用許多類型的社交工程攻擊中常見的策略來操縱受害者，包括：
除了個人化之外，攻擊者通常會採取多個步驟來提高其魚叉式網路釣魚攻擊的有效性。
一種常見的魚叉式網路釣魚策略是讓攻擊者偽裝成處於權威地位的人，因為人們更有可能對權威人物做出回應。
下面是一個範例：
Joe 是一位名叫 Mary 的 CEO 的執行助理。一天，Mary 在國外度假，Joe 收到了一封她發來的緊急電子郵件。郵件稱她的行李和手機被盜。她說她沒有錢或護照，需要他盡快傳送她的 PayPal 認證，以便她可以預訂酒店並購買回家的航班。Joe 可能會從他的雇主那裡看到這條令人痛心的訊息，並立即傳送所要求的資訊。
這種來自上級的「我遇到了麻煩，需要錢」的請求是一種常見的魚叉式網路釣魚腳本。攻擊者可能假冒 Mary 的電子郵箱，並將電子郵件傳送到 Joe 的姓名和姓名首字母的數十種不同組合，以期找到正確的。攻擊者還可能透過在 Twitter 上關注 Mary，瞭解了 Mary 的假期計劃。結合所有這些工具，攻擊者可以設計出一個非常有說服力的騙局。
一個值得注意的現實範例發生在 2016 年，當時攻擊者冒充 Snapchat 的 CEO，並成功說服員工交出機密的工資單資訊。
魚叉式網路釣魚攻擊還可以利用資料外洩的資訊。另一個範例是：
Steve 在一家大型線上零售商處購買了一台電腦，但幾週後該零售商發生了資料外洩事件。儘管信用卡號和密碼等敏感性資料受到雜湊保護，但客戶電子郵件地址和訂單歷程記錄卻被洩露。
幾天后，Steve 收到他的新電腦製造商發來的一封電子郵件，宣佈他購買的型號正在被召回，並提供了一個退款連結。該連結將 Steve 帶到製造商網站的假冒版本，並為 Steve 提供了一張表單，讓 Steve 輸入他的信用卡號以進行退款。攻擊者使用一些相當無害的資料來獲得 Steve 的信任並誘騙他交出他的財務資訊。
網路捕鯨是一種魚叉式網路釣魚攻擊，以非常知名的受害者為目標，通常是公司的高管或名人。網路捕鯨攻擊往往更加複雜，在許多情況下，攻擊者會首先對較小的目標（例如「鯨魚」的員工）進行魚叉式網路釣魚攻擊，以獲取接近最終受害者的資訊。
例如：
在度假期間，CEO Mary 收到她在 IT 團隊中認識的某個人的電子郵件或電話，讓她知道他們正在遭受網路攻擊，並請求存取她的工作電腦和帳戶，以確保公司資料的安全。攻擊者可能會入侵她的 IT 團隊以獲取 Mary 的信任，以期說服她交出認證。
由於魚叉式網路釣魚涉及社交工程，因此沒有萬無一失的方法來防範此類攻擊。然而，可以採取一些預防措施來防止和減少魚叉式網路釣魚的嘗試。其中包括：