La agencia de ciberseguridad y seguridad de infraestructura de EE. UU. realizó simultáneamente un ataque de equipo rojo contra dos organizaciones de infraestructura crítica, y ambos objetivos fueron comprometidos completamente a nivel de dominio. El primer objetivo se movió dentro de la red interna gracias a credenciales predeterminadas en una aplicación web y a una cuota de cuenta de máquina mal configurada; además se emplearon plantillas de certificado defectuosas, credenciales almacenadas en texto plano y claves de acceso a la nube sin expiración.
En esta organización, miles de alertas de operaciones normales ocultaron las señales reales de ataque, y la falta de visibilidad entre varios centros de operaciones de seguridad y los procedimientos de escalamiento insuficientes impidieron que se activara cualquier alarma.
En la otra organización, el equipo de seguridad detectó los correos de phishing entrantes en cuestión de minutos y aisló las estaciones de trabajo afectadas; de este modo se detuvo el ataque antes de que se estableciera un canal de comando‑control. El equipo rojo simuló un acceso similar en un servidor no autorizado, revelando las mismas vulnerabilidades, pero la diferencia en el factor humano y los procedimientos determinó el éxito de la defensa.