Forescoutの調査により、世界的に4,407台のインターネット上に公開されたRockwell Automation PLCが確認され、そのうち米国が2,844台。22台は水攻撃を受けた都市に存在し、19台は同じモバイルネットワーク事業者のネットワーク上で動作している。Forescoutは、攻撃者がセキュリティの脆弱性を利用して攻撃を受けたデバイスにアクセスしたのではなく、デバイスが既にアクセス可能な状態であり、攻撃者がIPアドレスを変更し、パスワードを設定することで、運用者がデバイス上の視認性と制御を失う原因となったと説明している。

Forescoutの分析では、攻撃者がどのようにターゲットを探し、選択し、最初にアクセスしたかは明らかにされていない。しかし、EtherNet/IPの44818ポートが公開されていることで、デバイスの構成によっては攻撃者がコントローラーを識別したり、設定を書き込んだりすることができる、認証なしの経路が作られる。Forescoutは、米国で公開されているコントローラーの70%以上が大手モバイルネットワーク事業者のネットワーク上にあることを確認した。FBIとEPAは、セルラーモデムに強力な認証、更新、ログ記録を推奨し、リモートアクセスを専用APN、VPN、または同様のアーキテクチャで分離することを勧めている。