Supponiamo che un truffatore abbia scelto come vittima un’azienda internazionale. Per prima cosa cercherà di raccogliere la maggior quantità di informazione possibile: com’è strutturata l’azienda? Come avviene la comunicazione tra i collaboratori? In quali settori opera l’azienda? Anche una lista di distribuzione e-mail è importante per entrare in possesso degli indirizzi necessari. L’hacker, tuttavia, non invia l’e-mail a tutta l’azienda poiché sarebbe troppo elevato il rischio che il tentativo di truffa possa essere subito scoperto e che l’intera azienda venga allertata.
Il truffatore invia invece l’e-mail solo a persone selezionate e si rivolge specificamente a loro. L’hacker ha infatti raccolto informazioni dettagliate sui dipendenti sui social network. Di conseguenza, agli occhi della vittima il messaggio risulta particolarmente credibile. Come autore dell’e-mail, l’hacker sceglie un dipendente presumibilmente di alto grado gerarchico di un’altra filiale. Il nome e l’indirizzo del mittente possono essere falsificati con facilità; per questo, a un primo sguardo non è possibile accorgersi che l’autore del messaggio è in realtà un’altra persona.
Il truffatore inserisce in basso nell’e-mail un pulsante che, se cliccato, indirizza la vittima a un sito web, anch’esso falsificato. L’obiettivo vero e proprio viene così camuffato. Non appena l’utente accede al sito web, in background viene caricato un malware. Se il software dannoso riesce a diffondersi nel PC della vittima, il truffatore può spiare l’intera rete aziendale.
A questo punto, la vittima è ancora convinta di aver visitato un normale sito web e, magari, di avere partecipato a un sondaggio. In questo modo, il virus può diffondersi in modo indisturbato nella rete dell’azienda, permettendo al truffatore di prendere il pieno controllo o disturbare processi critici per l’azienda.