Схема работает через сканирование сетевого оборудования в поисках уязвимых панелей управления. Получив доступ к роутеру через стандартные пароли, преступники перенаправляют интернет-запросы на свои серверы. Чтобы жертва не заподозрила подвох, хакеры маскируют предупреждения браузера о небезопасности под технические сбои из-за отзыва иностранных сертификатов безопасности, предлагая пользователю установить «доверенный» корневой сертификат, который окончательно открывает доступ к трафику.

Эксперты по кибербезопасности предупреждают, что такая атака гораздо опаснее привычного фишинга, так как не требует активных действий от жертвы. Для защиты рекомендуется отключить удаленный доступ к панели управления роутером, сменить заводской пароль администратора и использовать DNS-серверы Национальной системы доменных имен. Если возникают подозрения во взломе, необходимо сбросить настройки оборудования до заводских и обновить прошивку. Главным сигналом опасности остаются регулярные ошибки сертификатов при посещении банковских сайтов или госсервисов, а также перенаправления на странные страницы, которые возникают на всех устройствах в домашней сети одновременно.