Els ciberdelinqüents recopilen dades a través de xarxes socials, forats de seguretat o bases de dades filtrades. Amb aquesta informació, construeixen una campanya dirigida o massiva.

Dissenyen una adreça electrònica amb aparença professional: logotips, colors corporatius, textos ben redactats i un to similar al de l'entitat real. Tot està pensat per no aixecar sospites.

El missatge sol contenir un pretext que genera pressió: un problema amb el compte, una operació sospitosa o una actualització necessària. L'objectiu és que la víctima actuï sense pensar gaire.

El correu conté un fitxer adjunt maliciós o un botó o enllaç que dirigeix a una pàgina web falsa que imita l'original. Aquesta pàgina sol·licita, habitualment, introduir dades personals o bancàries, o fins i tot baixar algun malware al dispositiu.

Quan la persona completa el formulari, les seves dades són enviades directament a l'estafador. En alguns casos, també s'instal·la software maliciós al dispositiu.

Amb la informació obtinguda, els ciberdelinqüents accedeixen a comptes bancaris, fan compres no autoritzades o suplanten la identitat de la víctima.

Les dades robades poden utilitzar-se per enganyar altres persones o integrar-se en xarxes de frau més àmplies. L'atac no sempre acaba amb una única víctima.