Die Mails werden laut BleepingComputer von zufälligen E-Mail-Adressen versandt und nutzen als Absendernamen „ShinyHunters“ oder „Du wurdest gehackt“. Als Betreff erscheint „Informationen über deine Online-Sicherheit“. Darin behaupten die Absender, sie gehörten zur Hackergruppe ShinyHunters und hätten bereits vor einigen Monaten Zugriff auf die Geräte der Empfänger erlangt.
Anschließend nennen sie jeweils ein Unternehmen, dessen Daten zuvor von ShinyHunters veröffentlicht wurden, und stellen den Bezug zu einem dort angeblich vorhandenen Konto des Empfängers her. In einem von BleepingComputer dokumentierten Beispiel wird behauptet, der Zugriff auf die Datenbank von CarGurus habe den Zugang zum E-Mail-Konto ermöglicht. Die Nachricht behauptet weiter fälschlich, eine Woche später sei ein Exploit auf Computer und Telefon des Opfers installiert worden.
Damit, so die unzutreffende Darstellung in den Mails, hätten die Täter Zugriff auf Mikrofon, Kamera, Tastatur, Fotos, Browserverlauf, Gespräche und Kontaktliste erhalten. Zudem behaupten die Absender, den Besuch von Erwachsenenseiten aufgezeichnet zu haben, und drohen damit, intime Videos an Freunde, Kollegen und Familienmitglieder weiterzugeben. Um die angebliche Veröffentlichung zu verhindern, sollen die Empfänger binnen 48 Stunden 2.000 US-Dollar in Bitcoin zahlen.
Die Nachrichten enthalten außerdem die Aufforderung, weder die Polizei zu kontaktieren noch zu antworten oder Geräte zurückzusetzen. Als Begründung wird behauptet, die gestohlenen Informationen seien auf entfernten Servern gespeichert. Solche Schreiben sind als Sextortion-Mails bekannt und sollen Betroffene durch die Sorge um ihren Ruf zur Zahlung drängen.
BleepingComputer betont jedoch, dass nichts darauf hindeutet, dass der Absender jemals Zugriff auf Geräte oder persönliche Aktivitäten der Empfänger hatte. Stattdessen würden Angaben aus veröffentlichten Datenlecks, etwa eine E-Mail-Adresse und der Name des betroffenen Unternehmens, genutzt, um den Betrug gezielt und glaubwürdig erscheinen zu lassen. ShinyHunters selbst bestritt gegenüber BleepingComputer jede Beteiligung an der Kampagne.
Die Kampagne scheint im April begonnen zu haben. Seitdem meldeten zahlreiche Personen und Organisationen ähnliche Nachrichten oder warnten davor, sie zu beachten. Eine Person, die eine Nachricht mit Bezug auf das Betterment-Datenleck erhielt, veröffentlichte dazu einen Beitrag im Betterment-Reddit.
Betterment erklärte, man wisse, dass einige Kunden bedrohliche E-Mails erhalten hätten, die angeblich von einer Hackergruppe stammten. „Diese Nachrichten sind Teil eines verbreiteten Erpressungsbetrugs, der Empfänger einschüchtern soll“, teilte das Unternehmen mit. Außerdem betonte Betterment: „Bitte beachten Sie, dass die Kenntnis einer E-Mail-Adresse nicht die Möglichkeit eröffnet, Malware zu installieren oder auf das Gerät einer Person zuzugreifen.“ Das Unternehmen riet dazu, nicht zu antworten, keine Zahlung zu leisten, keine Links anzuklicken, keine Anhänge zu öffnen und die E-Mail zu löschen. Kunden, die mit der Nachricht interagiert hätten, sollten sich an das Betrugsteam wenden.