مهاجمان با استفاده از یک روش هوشمندانه موفق شدند ایمیل‌های جعلی ارسال کنند که ظاهراً از سیستم‌های گوگل ارسال شده و تمام تأییدات امنیتی را پاس می‌کردند، اما کاربران را به صفحات تقلبی هدایت می‌کردند تا اطلاعات ورود آن‌ها را سرقت کنند. این حمله که “DKIM replay phishing” نامیده می‌شود، از زیرساخت گوگل برای فریب گیرندگان استفاده می‌کند و آن‌ها را به پورتال پشتیبانی جعلی هدایت می‌کند که دقیقاً شبیه سایت اصلی گوگل است.

مهاجمان ابتدا یک دامنه ثبت کرده و حساب گوگل با آدرس me@domain ایجاد می‌کنند، سپس یک اپلیکیشن OAuth گوگل می‌سازند و پیام فیشینگ را به عنوان نام آن استفاده می‌کنند. وقتی مهاجم به اپلیکیشن خود دسترسی می‌دهد، گوگل به طور خودکار هشدار امنیتی ارسال می‌کند که با کلید DKIM معتبر امضا شده و تمام بررسی‌ها را پاس می‌کند. این ضعف در سیستم گوگل باعث می‌شود ایمیل‌های جعلی به عنوان پیام‌های مشروع در صندوق ورودی قربانیان ظاهر شوند. روش مشابهی علیه کاربران PayPal نیز استفاده شده است.