−Wybór celu — na tym etapie cyberprzestępca wybiera instytucję lub organizację, którą będzie atakował. Przestępcy kierują się prostą zasadą: gdzie najmniejszym kosztem i wysiłkiem mogą zarobić najwięcej. Pamiętajmy: nasze dane mają wartość!
−Uzyskanie dostępu (Initial Access) — najsłabszym ogniwem jest najczęściej technologia i człowiek — to paradoks, bo jednocześnie to nasza najsilniejsza metoda obrony przed cyberzagrożeniami.
−Utrwalenie obecności — atakujący rzadko po zdobyciu dostępu atakuje od razu. W większości przypadków przez wiele dni lub przez całe tygodnie porusza się po sieci, zdobywając dostęp do poszczególnych urządzeń, starając się przejąć uprawnienia administratora. Przestępca poszukuje także miejsc, gdzie są przechowywane i przetwarzane najcenniejsze dane. Na tym etapie szansa na wykrycie ataku jest największa.
−Wyprowadzenie danych (eksfiltracja) — kradzież odbywa się najczęściej w nocy, w weekendy lub w sezonie urlopowym, gdy szansa na natychmiastowe wykrycie i czujność pracowników monitorujących infrastrukturę IT jest najniższa.
−Zarabianie na danych — dane mają wymierną, bardzo konkretną wartość finansową. Dla przestępców informacja jest towarem, który można spieniężyć na czarnym rynku niezależnie od tego, czego dotyczy.