مهاجمان پس از ترغیب کاربران به پذیرش جلسه‌های پشتیبانی از راه دور ، با سوءاستفاده از پیکربندی نادرست Active Directory Certificate Services، از مسیرهای ESC1 و ESC8 به دسترسی ممتاز رسیده‌اند.

یکی از این نفوذها به سرقت داده‌ها منجر شد. در مورد دیگر، مهاجمان با استفاده از PetitPotam و ESC8 توانستند یک ایستگاه کاری را به هویت کنترلر دامنه تبدیل کنند. تفاوت در نتیجه این دو حادثه به نحوه واکنش سازمان‌های هدف بازمی‌گشت.

گزارش Cisco Talos درباره فصل سوم سال ۲۰۲۶ نیز این روند را تأیید می‌کند. فیشینگ همچنان رایج‌ترین روش ورود اولیه است، اما سهم آن از بیش از ۵۰ درصد به اندکی بیش از یک‌سوم موارد کاهش یافته است. در مقابل، حملات ویشینگ و جعل هویت میز پشتیبانی افزایش یافته‌اند.

به گفته Talos، مهاجمان در برخی موارد تنها نام و نشانی ایمیل کارکنان را در اختیار داشته‌اند. Arctic Wolf بیش از ۴۰۰ حادثه مرتبط با چت‌های خارجی در Teams را بررسی کرده . LevelBlue نیز سهم بهره‌برداری از آسیب‌پذیری‌ها در ورود اولیه را ۱۴ درصد گزارش کرده است؛ درحالی‌که این رقم در فصل قبل ۴ درصد بود. این آمارها از پایگاه‌های داده متفاوتی به دست آمده‌اند و بنابراین مستقیماً قابل مقایسه نیستند.