Według G Daty celem ataków jest wyłudzenie danych dostępowych do serwisu internetowego iPKO oraz kodów jednorazowych umożliwiających zatwierdzanie przelewów. Klienci banku otrzymują maila o tytule „PKO: Konto zablokowane” wysłanej rzekomo z adresu no-reply@ip.pl. Przestępcy wykorzystali adres domeny mogący sugerować związek z systemem bankowości iPKO (tzw. fake mail, czyli wiadomość ze sfałszowanym adresem nadawcy).

W tekście pojawia się informacja o wielu nieudanych próbach logowania do konta adresata, co ma sprowokować go do szybkiej reakcji – weryfikacji danych z pomocą postawionego linka, który przekierowuje na spreparowaną przez cyberprzestępców stronę. Do złudzenia przypomina ona stronę logowania iPKO. Inny jest jednak adres internetowy, brak ikony kłódki oznaczającej połączenie szyfrowane. Ofiara jest proszona o wpisanie nie tylko swojego loginu i hasła, lecz także kodu jednorazowego. Dane trafiają do przestępców.