Nach Darstellung des FBI nutzen die Täter eine Mischung aus Social Engineering und technischen Eindringmethoden. Die Behörde schreibt, die Angreifer setzten „eine Vielzahl von Social-Engineering- und Cyber-Intrusion-Taktiken ein, um bestimmte Personen von Interesse — die dem Täter bekannt sein können oder auch nicht — oder allgemeine Gelegenheitsziele ins Visier zu nehmen“.
Ein Teil der Kontoübernahmen erfolgt laut FBI über wiederholte Anmeldeversuche mit unterschiedlichen Passwörtern oder PINs, die aus Datenleck-Seiten und anderen Quellen stammen. Wenn die Opfer aus dem persönlichen Umfeld bekannt sind, probieren die Täter nach Angaben der Behörde auch Varianten von Geburtstagen oder Namen aus.
In anderen Fällen, die FBI-Ermittler beobachtet haben, treten die Angreifer als angebliche Vertreter von Social-Media-Unternehmen auf. Sie behaupten, das jeweilige Konto sei kompromittiert worden, und überfluten die Betroffenen mit Textnachrichten, in denen Passwort-Zurücksetzungen verlangt werden. Teilweise verschicken sie auch Codes, mit denen sie die Passwort-Rücksetzung anschließend selbst durchführen können.
Der Hinweis nennt zudem geklonte Social-Media-Webseiten, die echten Plattformen täuschend ähnlich sehen. Geben Betroffene dort ihre Zugangsdaten ein, werden diese nach Angaben des FBI direkt an die Cyberkriminellen übermittelt.
Nach erfolgreichem Diebstahl beschränken sich die Täter dem FBI zufolge nicht auf den Verkauf oder die Veröffentlichung der intimen Inhalte. Die Behörde erklärt, Betroffene seien danach häufig einer erneuten Viktimisierung durch Belästigung, Sextortion, Stalking oder andere gezielte Angriffe ausgesetzt. Dazu zähle auch, dass gestohlene Inhalte auf der eigenen Social-Media-Seite des Opfers beworben werden.
Die Warnung folgt auf mehrere Strafverfahren, auf die das FBI indirekt verweist. So bekannte sich im Februar ein 27-jähriger Mann aus Illinois schuldig, nachdem ihm das US-Justizministerium vorgeworfen hatte, hinter einer Kampagne zu stecken, bei der Snapchat-Konten von etwa 600 Frauen gehackt wurden.
Bereits im vergangenen Jahr erhob das US-Justizministerium Anklage gegen einen ehemaligen Assistenztrainer der Football-Mannschaft der University of Michigan. Ihm wird vorgeworfen, in die Datenbanken für studentische Athleten von mehr als 100 Colleges und Universitäten eingedrungen zu sein und auf medizinische Informationen von rund 150.000 Menschen zugegriffen zu haben. Nach Darstellung des Justizministeriums nutzte er diese Daten, um in die Social-Media-Konten weiblicher studentischer Athleten einzudringen.