Da jih ne bi kmalu odkrili, so se napadalci odločili uporabiti čim manj zlonamerne programske opreme in čim več dejanj postoriti z legitimnimi orodji. Napadi so se začeli z odprtjem računov, ki so jih v bankah odprli ljudje s ponarejenimi dokumenti (mule). Ti so poleg računov dobili še debetne kartice, kar je običajna praksa, saj te v normalnih razmerah ne dovoljujejo prekoračitve stanja. Te kartice so potem poslali v tujino, kjer so na odmaknjenih bančnih avtomatih brez kamer dvignili veliko denarja. Toda pred tem je bilo treba poskrbeti, da je bilo na račun dovolj sredstev.
V ta namen so se napadalci lotili bančnega omrežja. Najprej so zaposlenim v bankah poslali elektronska sporočila z zlonamerno programsko opremo (phishing), ki jih je slej ko prej nekdo odprl in jo s tem namestil. Ta se je potem razgledala po računalnikih in poiskala način, kako vstopiti v zavarovan del bančnega omrežja. Naslednji korak je bil vdor v sisteme za procesiranje plačilnih instrumentov, ki jih vzdržujejo podjetja, s katerimi imajo banke vzpostavljeno povezljivost. Na bančni sistem so naložili orodja za opazovanje prometa in aktivnosti, s katerimi so pridobili informacije o normalnem dogajanju na sistemih, hkrati pa tudi prijavne podatke za dostop do sistemov za procesiranje plačilnih instrumentov. Ko so uspeli vdreti še vanje, so pridobili praktično popoln nadzor nad infrastrukturo. Tam so potem izbranim računom nastavili dovoljeno prekoračitev stanja (limit) na zneske 25.000-35.000 evrov.
Zgolj nekaj minut po spremembi so njihovi partnerji začeli v tujini z istega računa dvigovati večje vsote gotovine. Izbrali so bankomate, za katere so vnaprej vedeli, da so na samotnih lokacijah, brez kamer in da imajo zadostno količino gotovine in visoke limite. V približno petih urah so račun izpraznili.
Ravnanje zlikovcev je bilo težko odkriti, ker so uporabljali legitimne bančne kartice za dejanske (obstoječe) račune. Nanje so banke opozorili šele poravnalni agenti, ki so opazili večje dvige v državah, kjer banka ni imela svojega predstavništva. Toda tedaj je bilo že prepozno. V nekaj mesecih so odnesli vsaj 40 milijonov evrov, verjetno pa še več, saj celoten obseg prevare še ni znan.
