SVT Nyheter erfar att det i vissa fall kan ha gått till på följande sätt:
En skadlig kod har skickats ut till olika företag och myndigheters mejllistor. Mejlet ska ha sett ut som ett mejl från en känd avsändare – men innehållit en skadlig kod – som infekterat datorn när mejlet öppnats.
Man kan likna det som händer med det vi ser på datorn när vi ringer till datasupporten efter att något program krånglat. Supporten skickar en länk med en begäran om att få åtkomst till datorn och kan vid medgivande ta över den.
Bedragaren har sedan haft fri tillgång till en stor del av allt som finns på datorn. Bland annat har man kunnat studera hur användaren formulerar sig i mejl, vilka man skickar dem till och vid vilken tidpunkt.
Bedragaren har sedan kunnat skicka ut massmejl från mejlkorgen för att infektera fler datorer. Mejl som inte stuckit ut eftersom de kommit från en känd avsändare, innehållit ett känt meddelande och skickats vid en känd tidpunkt.
Bedragaren har senare raderat mejlet för att röja spåren.