Spear Phishing ist Phishing, das auf eine bestimmte Person oder Rolle zugeschnitten ist. Die Nachricht nennt echte Namen, laufende Vorgänge und passende Beträge, und genau deshalb fällt sie aus dem Raster der üblichen Merkmale.
- Spear Phishing
Phishing, das auf eine bestimmte Person oder Rolle zugeschnitten ist und mit recherchierten Angaben arbeitet.
Beispiel: „Das Spear Phishing nannte den Namen des Projekts und die Nummer der offenen Rechnung.“Auch: Richtet sich der Angriff auf die Geschäftsführung oder auf jemanden mit Zahlungsfreigabe, heißt die Spielart Whaling oder CEO-Fraud.
Abgrenzung zum einfachen Phishing: Dort geht dieselbe Nachricht an Zehntausende. Hier steht hinter einer einzelnen Nachricht eine Recherche von Stunden.
Woher die Angaben beim Spear Phishing stammen
Aus öffentlichen Quellen. Das Impressum nennt die Geschäftsführung, die Teamseite die Zuständigkeiten, das berufliche Netzwerk die Wechsel, der Pressebereich die laufenden Projekte. Dazu kommen Daten aus früheren Leaks und Angaben, die in einem vorbereitenden Anruf abgefragt wurden.
Für die eigene Website heißt das keine Geheimniskrämerei, sondern Bewusstsein: Was öffentlich steht, steht auch dem Angreifer zur Verfügung. Durchwahlen und Vertretungsregelungen gehören deshalb nicht auf jede Seite.
Was im Unternehmen gegen Spear Phishing hilft
Feste Verfahren, die vom Einzelfall unabhängig sind. Zahlungen und Änderungen von Bankverbindungen laufen über zwei Augenpaare und über einen Rückruf auf eine bekannte Nummer. Freigaben per E-Mail gelten nicht als Freigabe. Diese Regeln wirken genau deshalb, weil sie niemanden zwingen, eine Nachricht zu beurteilen.
Was nach einem erfolgreichen Spear Phishing zu tun ist
Schnell und ohne Vorwürfe. Zugangsdaten tauschen, offene Sitzungen beenden, Protokolle sichern, Zahlungen stoppen, Betroffene informieren. Sind personenbezogene Daten abgeflossen, läuft dazu die Frist von 72 Stunden aus der Datenschutz-Grundverordnung.