Le spear phishing est un hameçonnage ciblé sur une personne ou un petit groupe, appuyé sur un contexte réel : nom du responsable hiérarchique, dossier en cours, fournisseur habituel, échéance connue. Là où le phishing de masse joue le volume, le spear phishing joue la vraisemblance.
La phase de préparation
L'attaquant reconstitue l'environnement de sa cible à partir de sources ouvertes : réseaux professionnels, communiqués, dépôts publics, signatures de courriels, fuites antérieures. Il en déduit l'organigramme, le format des adresses internes, le vocabulaire maison et les moments propices — clôture comptable, changement de prestataire, congés d'un dirigeant.
Le message final est court, plausible et ne comporte aucun des signaux d'alerte enseignés en formation. Les outils d'IA générative ont supprimé les maladresses de langue qui servaient d'indice, et permettent de produire ces messages à grande échelle.
Ce qui différencie les deux familles
| Phishing de masse | Spear phishing | |
|---|---|---|
| Cible | Liste anonyme | Personne identifiée |
| Prérequis | Une adresse | Un contexte détaillé |
| Détection | Filtres et réputation | Difficile, message unique |
| Objectif | Identifiants en volume | Accès précis, virement, données |
Le prérequis commun reste l'existence d'un identifiant à viser. Une authentification IDless, qui ne repose sur aucune adresse ni aucun login permanent, réduit d'autant la matière première du ciblage.
Aller plus loin : l'approche IDless contre le spear phishing · ingénierie sociale en entreprise · définition du phishing · l'authentification cognitive