El vector de entrada suelen ser correos electrónicos enviados a trabajadores de la empresa, y suelen ser dirigidos por alguien que conoce qué puesto ocupa esa persona en la empresa. Por ejemplo, algo que suele hacerse es intentar generar prisa y desconcierto en los usuarios para que pinchen en un enlace y descarguen el malware, y al ejecutarlo pueden no sólo infectar su ordenador, sino la red completa de la empresa. El informe de WatchGuard detalla cómo hay atacantes usando un truco que permite camuflar archivos que ejecutan un ransomware como si fueran un PDF real. También hay otro truco que utiliza archivos CAB.