スピアフィッシングは、サイバー犯罪者が組織への攻撃の踏み台として、特定の個人を攻撃しようとする手法です。攻撃の目的は、フィッシングメールと同様で、ログイン情報や機密情報にアクセスしたりマルウェアを配信することですが、この場合の攻撃対象は個人です。

近年でも、J.P.モルガン、シーメンス、ターゲットなど大企業でのデータ侵害は、すべてスピアフィッシングが攻撃の基点となっています。また、セキュリティインフラが手薄で、従業員のセキュリティ意識レベルが低い可能性のある、中小企業が標的になる場合もあります。組織の規模に関わらず、自分たちも攻撃対象になる可能性があることを認識しなければなりません。

従業員として、何らかの操作を求める電子メールを受け取ったときには、警戒することが大切です。自分たちの組織がサイバー犯罪の被害者にならないようにするために、通常とは異なる言葉使い、用語、ミススペルなどはないか確認してください。電子メールやリクエストが正規のものかどうかわからない場合、ITセキュリティチームにと合わせて確認してもらいましょう。スピアフィッシング攻撃を特定する方法をトレーニングとして提供している場合もあります。