攻撃の 3カ月前に、従業員がフィッシングメールを受信。 

• このメールは、他のオフィスにいる同僚から送信されたように偽装されていました。攻撃者が同僚のメールアカウントにアクセスして、同僚から盗んだメールを流用した可能性があります。
• メールの内容は非常簡単で詳細はリンクをクリックしてドキュメントを確認するように書かれていました。従業員がリンクをクリックすると、攻撃者はドメイン管理者のアクセス資格情報を取得できるようにプログラムされています。
• 今回ケースでは、被害者のITチームがフィッシング攻撃をシャットダウンすることで、攻撃は終わったかのように見えました。
• このフィッシングメールはアクセス情報を販売するブローカーの犯罪であったと思われます。

8週間後、攻撃者が被害者のコンピュータにCobalt StrikeとPowerStploit PowerViewの2つのツールをインストールして実行しました。 

これらは、ペネトレーションテスト用ツールキット（インターネットなどのネットワークに接続されているシステムに対して、様々な技術を使って侵入を試みることで、システムにセキュリティ上の脆弱性が存在するかどうかをテストをするためのツール）として一般に販売されているものです。

一旦、攻撃者の活動は静かになりました。 

ブローカーがこの企業へのアクセス情報を購入する第二の攻撃者を探していたためだと思われます。

アクセス情報が販売されると、第二の攻撃者はそのアクセス情報を活用してネットワークに侵入し、より多くのマシンにCobalt Strikeをインストールし、情報の収集と窃盗を開始しました。 

一番初めのフィッシングメールから 3カ月後に、攻撃者は現地時間の午前4時に 「Revil」ランサムウェアで攻撃を仕掛け、250万ドルの身代金を要求しました。