לפי Kela, כפי שדיווח SecurityWeek, הקמפיין פעיל מאז מאי ומשתמש ביותר מ-300 דומיינים, מהם 248 שמתחזים ל-189 מוסדות פיננסיים בארה"ב, בעיקר בנקים אזוריים בינוניים. נכון ל-25 באוקטובר, ל-183 מהמוסדות עדיין היו אתרים מתחזים פעילים, ובשבוע האחרון נוספו 49 דומיינים, חלקם מתחזים לדפי תמיכה וצ'ט של JPMorgan, Citi, BMO ו-Santander. הקמפיין מכוון בעיקר לכניסות לחשבונות עסקיים ולמערכות ניהול מזומנים, ופוגע גם בקורבנות בבריטניה, באוסטרליה ובניו זילנד.
ערכת הפישינג זוכרת את כתובת ה-IP של כל מבקר. מי שנכנס בפעם הראשונה רואה דף התחברות ממותג של הבנק, ומי שחוזר רואה הודעה שמחקה דף של ספק אחסון שסגר חשבון. כך, צוות אבטחה או חברת הסרות שבודקים שוב אתר שדווח עלולים לסמן אותו כמוסר בזמן שהוא ממשיך לעבוד מול קורבנות חדשים. Kela עוד לא יודעת איך הקורבנות מגיעים לאתרים.
ההמלצה לארגונים ולצוותי אבטחה: להיכנס לחשבון הבנק רק דרך כתובת שמוקלדת ידנית או אפליקציה רשמית, ולבדוק אתרים חשודים מכתובת IP חדשה לפני שמסמנים אותם כמוסרים.