Při kliknutí na přílohu, která je ovšem ve skutečnosti pouze vložený obrázek, je uživatel přesměrován na phishingovou stránku vypadající jako přihlášení do služby Gmail. URL takové stránky začíná důvěryhodně vypadajícím řetěžcem “data:text/html,https://accounts/google.com”, za kterým je ovšem dlouhá řada tzv. bílých znaků a tím je skrytý následující škodlivý kód. Škodlivý kód přesměruje uživatele na finální phishingovou stránku.
Na útoku je zajímavé, že v případě kompromitace uživatelského účtu do něj útočnící téměř okamžitě přistupují s cílem získat kontakty oběti a také některé minulé konverzace, které pak používají k dalšímu šíření phishingu. Jako ochrana je doporučeno použivání dvoufaktorové autentizace.
