A felkínált lehetőségeket elutasítva a támadó kivárja, amíg megjelenik a mobiltelefonra küldött azonosító kód lehetősége, majd elfogadja az opciót, amely hatjegyű azonosítót küld az áldozat telefonszámára. A felhasználó mobiltelefonjára megérkezik a hatjegyű kód. A támadó szintén küld az áldozat telefonjára egy hivatalosnak látszó szöveges üzenetet: „A Google gyanús tevékenységet észlelt a fiókjában. Kérjük, válaszként küldje el hatjegyű azonosítókódját, hogy megakadályozzuk az illetéktelen tevékenységet fiókjában.” Az áldozat azt gondolja, hogy az üzenetet a Google küldte, így válaszában elküldi a kódot közvetlenül a támadó telefonjára, aki az ideiglenes jelszó birtokában belép a felhasználó fiókjába.
A Symantec szakembereinek megfigyelései szerint a kiberbűnözők általában nem pénzügyi visszaélésekhez (például bankkártyaadatok ellopásához) használják ezt az átverést, és nem tömegesen támadják a felhasználókat, hanem pontosan kiválasztott áldozatokat választanak. Ez a módszer nagyban hasonlít azokra az átverésekre, amelyeket az APT-csoportok (advanced persistent threat, célzott támadás) használtak korábban. Az átverés sokkal hatékonyabb és olcsóbb, mint egy megtévesztő domain regisztrálása és egy weboldal létrehozása, mivel ebben az esetben csak egy SMS árába kerül a fiókadatok megszerzése.