Фішинг полягає у відправці повідомлень по електронній пошті користувачу з метою переконати користувача виконати будь-яку дію. Метою більшості фішингових листів є спроба примусу користувача натиснути щось і записати послідовність його дій, або ж встановити шкідливе ПЗ як частина більш широкомасштабної спроби проникнення.
Ключ до успішної кампанії фішингу - персоналізація. Модифікація електронного повідомлення під конкретного користувача, нібито отриманого з надійного (або має в своєму розпорядженні довірою) джерела, збільшує ймовірність того, що користувач прочитає пошту або навіть піде рекомендаціям, позначених в тексті повідомлення. Професійний зловмисник завжди приділить увагу перевірці орфографії і граматики; добре написане повідомлення, навіть короткий, має більше шансів на успіх.
Цільовий фішинг (spear phishing) є набагато більш витонченим, ніж звичайний фішинг. Замість масової розсилки повідомлень, цільової фішинг сконцентрований на одному конкретному користувачі або організації. Електронні листи або повідомлення, відправлені в такому вигляді, для більшої достовірності зазвичай включають конкретну, ретельно відібрану інформацію про людину або компанії. Ці цільові розсилки переслідують явні шкідливі цілей: як правило, вони використовуються для отримання конкретної корпоративної інтелектуальної власності або особистої інформації.
2) Pretexting
Найкраща стратегія - використання спочатку невеликих запитів і згадувати імена реальних людей в організації, зазвичай вищестоящих. В процесі розмови зловмисник пояснює, що він потребують допомоги (більшість людей готові виконати невеликі завдання, які не сприймаються як підозрілі запити). Як тільки довірча зв'язок встановлено, зловмисник може попросити щось більш суттєве і з великим успіхом.
3) підкинув інфікованих медійних носіїв
Ще один цікавий спосіб видобутку конфіденційної інформації - подброс цифрових носіїв (наприклад, флешки) в будь-яких публічних місцях, на стоянці або біля входу в будівлю. На флеш-накопичувач записується програма, яка ініціює атаку клієнтської робочої станції або мережі при її відкритті. Шкідливе ПО знаходиться всередині Excel, Word або PDF файлів, розміщених, як правило на такі носії, а самі пристрої позначаються, що привертають увагу написами, такими як: «Фінансовий звіт», «Прайс-лист», «Строго конфіденційно» і т.д.
4) Несанкціоноване проникнення
Проникнення на територію без допуску передбачає отримання фізичного доступу на об'єкт шляхом примушування або обману співробітників або просто в обхід периметра безпеки. Порушники планують отримання конфіденційних даних або установку прихованих пристроїв в дуже короткий проміжок часу, так як їм необхідно залишити об'єкт дуже швидко. Вони можуть сфотографувати документи, залишені на принтерах або столах, або встановити пристрої, що забезпечують подальший Wi-Fi або 3G доступ до мережі.