Schemat ten zaobserwowano w setkach analizowanych przypadków. Funkcja czatów zewnętrznych umożliwia atakującym bezpośredni kontakt z pracownikami firm.
Głównym celem tych operacji jest podszywanie się pod pracowników działów wsparcia technicznego IT, dostarczanie złośliwego oprogramowania oraz wdrażanie oprogramowania szantażującego (ransomware). Z ustaleń analityków wynika, że napastnicy stosują spójny schemat postępowania. Do prowadzenia kampanii wykorzystują między innymi powtarzalne, jednorazowe konta organizacji (tzw. throwaway tenants) oraz fałszywe tożsamości imitujące firmową obsługę IT.
