Śledztwo w sprawie bezpieczeństwa wykazało, że złośliwe oprogramowanie zostało zainstalowane na serwerze przy użyciu poświadczeń administratora serwera. Podczas dochodzenia administrator serwera wyjaśnił, że Telnet był regularnie używany do logowania. Co z poniższych najprawdopodobniej miało miejsce?

Telnet przesyła dane, w tym poświadczenia logowania, w postaci niezaszyfrowanego tekstu. Atakujący mógł użyć narzędzia do przechwytywania pakietów (sniffing), aby przechwycić ruch sieciowy i łatwo odczytać hasło administratora serwera, gdy ten logował się za pomocą Telnetu. Atak spraying attack polega na próbie użycia jednego, często używanego hasła na wielu kontach, a nie na określeniu, których poświadczeń użyć. Trojan zdalnego dostępu (RAT) jest złośliwym oprogramowaniem, które umożliwia zdalny dostęp, ale jego instalacja wymagałaby już wcześniejszego uzyskania dostępu lub wykorzystania innej luki. Atak słownikowy polega na próbie odgadnięcia hasła z listy popularnych słów, co jest mniej prawdopodobne, gdy hasło zostało już skradzione w jawnym tekście.