يمكن للمهاجم إنشاء تطبيق خبيث وربطه بنطاق مخصص لمستخدم مستهدف. ومن خلال تحرير تكوين المصادقة، يمكن للمهاجم إعادة توجيه حركة المرور إلى التطبيق الذي يتحكم فيه. إذا كان الضحية يستخدم مزود OAuth، يتم ملء مساحة عمل المهاجم بمعرف عميل OAuth (OAuth Client ID) وسر العميل (Client Secret) الخاص بالضحية.