Angrebet består i en e-mail, der ser meget troværdig ud. Mailen er sendt til en navngiven person. I mailen skriver afsenderen, at han med interesse har læst en af forskerens artikler, som også nævnes med fuld titel. Afsenderen, der angiver selv at være forsker, beder nu om at få yderligere et par af forskerens artikler tilsendt.
Han henviser til artiklerne ved hjælp af to links. Det er her, selve angrebet foregår: Det ene link fører til en side, der fuldstændig ligner login-siden på det universitet, som modtageren af mailen er tilknyttet.
Hvis modtageren indtaster brugernavn og password på den falske login-side, ender de hos svindlerne.
Afsenderadressen i mailen ser umiddelbart ud til at tilhøre et tysk universitet. En lille stavefejl afslører dog, at der er tale om et mail-domæne, der ikke tilhører universitetet.
DKCERT kender foreløbig til et enkelt angreb af denne type rettet mod danske forskere. Universitetet har ændret password for alle de forskere, der modtog mailen og klikkede på linket i den. Der er ikke observeret forsøg på misbrug som følge af hændelsen.