A eficácia do Whaling baseia-se no uso de ataques de negação de serviço (Distributed Denial of Service − DDoS) contra o servidor de e-mail, forçando o executivo a utilizar canais de comunicação não seguros e vulneráveis a interceptação.

O Whaling utiliza mensagens de texto (Short Message Service − SMS) enviadas para dispositivos móveis corporativos, explorando vulnerabilidades no protocolo de sinalização SS7 para interceptar chamadas de voz e capturar códigos de autenticação de dois fatores.

Trata-se de uma técnica de interceptação física onde o atacante instala dispositivos de escuta em salas de videoconferência, utilizando inteligência artificial para reconstruir diálogos a partir de vibrações em superfícies de vidro.

O Whaling é uma forma específica de Spear Phishing direcionada a executivos de alto escalão (C-level), utilizando comunicações altamente personalizadas e termos técnicos ou jurídicos para induzir a vítima a realizar transferências financeiras ou revelar segredos industriais.

Esta técnica consiste no envio de e-mails em massa para toda a base de usuários da organização, utilizando um assunto genérico de atualização de senha, visando capturar o maior número possível de credenciais de contas de baixo privilégio.