Nun sendet der Angreifer seinem Opfer eine gut getarnte Phishing-Nachricht, die den Gerätecode und den Link enthält, und bittet es, den Link anzuklicken und den Gerätecode einzugeben. Klickt das Opfer nun auf den Link und gibt den Code in seinem Gerät ein, wird das Gerät des Angreifers vom Dienst automatisch authentifiziert. Der Dienst glaubt nun, dass das Endgerät des Angreifers ein weiteres Endgerät des Opfers sei. Der Angreifer kann sich als Opfer ausgeben und im Dienst – genauso wie das Opfer – frei bewegen; zumindest für eine begrenzte Zeit. Der Angreifer hat nun Zugriff auf sensible Daten und die Möglichkeit, die Dienste für weitere Angriffe zu missbrauchen.