Het begint meestal met een klassieke phishing-e-mail die als aas fungeert om een geïnfecteerd bestand te downloaden. In de meeste gevallen, de wordt ransomware geactiveerd door een geïnfecteerd PDF, DOC of XLS-bestand. Door het kwaadaardige bestand te openen, heeft de crimineel het belangrijkste obstakel overwonnen. De installatie op het betreffende systeem vindt plaats. Ter verduidelijking, de installatie kan onafhankelijk van de activering van de Ransomware zijn. De ransomware aanval kan dus worden voorbereid, maar bijvoorbeeld worden gestart op een later tijdstip.
Zodra de ransomware wordt geactiveerd, begint de werkelijke schade: het encryptie-proces begint. Afzonderlijke bestanden op één systeem of zelfs op meerdere systemen binnen een bedrijfsnetwerk kunnen worden versleuteld. Vanaf nu heeft de gebruiker geen toegang meer tot bepaalde bestanden of zijn hele computer. Hij heeft zijn admin rechten volledig verloren. De controle is in handen van de hacker.
Zodra alles is gecodeerd, verschijnt er een melding op het scherm van het slachtoffer. Hierin eist de hacker losgeld om de ransomware te verwijderen. Zodra dit proces is voltooid, hoeven de aanvallers alleen maar te wachten dat het slachtoffer het losgeld betaald. De losgeld vraag koppelen aan een deadline is een effectieve manier voor cybercriminelen om de druk op slachtoffers te verhogen. Als de eigenaren van de systemen geen betaling hebben gedaan voor de deadline, zal ofwel het losgeld bedrag toenemen of het proces van het verwijderen van gegevens zal beginnen.
Ransomware aanvallen kunnen grote schade veroorzaken, vooral aan bedrijven. Deskundigen en autoriteiten adviseren meestal tegen het betalen van losgeld. Vaak hebben de slachtoffers geen andere keuze dan te hopen op de “goedheid” van de hackers na de betaling. Vaak wordt de decryptie na betaling van het losgeld niet uitgevoerd.