Исследователи KELA разобрали сеть Suspended: при первом посещении сайт показывает поддельный банковский вход, а при повторном визите с того же IP-адреса — сообщение о приостановке хостинга. Новые посетители продолжают видеть форму для кражи логинов и паролей. Отчёт обновлён 3 ноября.

Подмена рассчитана на повторную проверку: специалист открывает подозрительный адрес, затем возвращается и видит привычное уведомление об отключении. По объяснению KELA, так действующий фишинговый сайт может показаться уже устранённой угрозой. Исследователи показали оба варианта страницы; число случаев, когда службы защиты действительно приняли подделку за блокировку, не названо.

На 25 октября KELA насчитала 248 действующих доменов, копировавших страницы 183 американских финансовых организаций. Всего с мая исследователи связали с кампанией более 300 доменов и 189 организаций. Многие подделки изображали вход в банковские кабинеты компаний. Речь об использовании чужих названий и оформления: взлом самих банков этот отчёт не устанавливает.

Некоторые сайты вместо уведомления об отключении показывали пустую страницу или перенаправляли посетителя в Google. Поэтому один такой ответ не подтверждает прекращения атаки: KELA рекомендует повторять проверку с нового IP-адреса. Канал доставки ссылок, число потерпевших и размер ущерба остаются неизвестными.