Todos os dados pessoais, cadastrais e financeiros que estiverem armazenados no banco de dados de usuários do provedor podem ser copiados durante o ataque.

Os serviços de acesso à Web, comunicação, email, entre outros oferecidos pelo provedor, ficam totalmente indisponíveis para os usuários, em razão da sobrecarga de tráfego, até que os servidores DNS sejam reinstalados e reconfigurados.

Usuários finais do provedor que tentarem acessar sítios legítimos, como os de instituições financeiras, serão direcionados a sítios falsos, nos quais suas credenciais de acesso às contas poderão ser capturadas e, posteriormente, utilizadas em transações financeiras fraudulentas.

Todos os arquivos dos servidores DNS do provedor são criptografados e todas as informações do cache DNS ficam inacessíveis até que o provedor quebre a chave de criptografia ou pague o resgate exigido pelos atacantes para fornecer a chave de criptografia.

As credenciais de acesso ao provedor dos usuários finais são capturadas assim que digitadas quando eles se conectam, podendo ser instalado software malicioso em suas máquinas, caso estejam vulneráveis, com o objetivo de incorporá-las às botnets controladas pelos atacantes.