Cara Kerja Pishing

Phishing dapat dilakukan secara aktif maupun pasif. Phisher mengirimkan ribuan email (spoofed email) ke target sasaran dengan menipu sebagai email resmi suatu perusahaan kartu kredit, perusahaan pembiayaan atau instansi resmi. Email tersebut terlihat seperti dikirim dari pihak resmi, sehingga pelanggan target seringkali tidak menyadari kalau mereka sedang ditipu.
Pada email, sebagai contoh misalnya phisher memberitahukan tentang perlunya verifikasi account kartu kredit dengan mengirimkan nomor kartu kredit tersebut dengan cara mengklik link URL pada email. Link URL tersebut akan menuju situs palsu (fraudulent website) dimana user diminta menginput nomor kartu kreditnya dan mengirimkannya , dengan embel-embel agar accountnya dapat dipergunakan kembali dan ter-update dalam database perusahaannya. Setelah phisher berhasil mengantongi nomor kartu kredit user, lalu phisher dapat menggunakannya untuk berbelanja atau meminjam identitas kita.
Berikut adalah contoh email phishing yang menggunakan nama Citibank

Dengan mengaku pihak resmi bank atau perusahaan terpercaya, retailer online atau perusahaan kredit card, phisher bisa meyakinkan sampai 5% dari penerima email untuk mengikuti perintahnya. Hal ini dikarenakan tipuan mereka tidak terlihat , apalagi oleh orang yang kurang berhati-hati, tergesa-gesa atau awam terhadap internet.
Masih banyak cara yang ditempuh oleh para phisher untuk menjerat korbannya, antara lain melalui:
1. Faktor Pendekatan Sosial. Kebanyakan para korban diberi pesan menarik dan     digiring kedalam jebakan dengan tujuan agar korban mau melakukan beberapa     tindak lanjut dari email palsu tersebut dan si korban memberikan informasi     berharga kepada si phisher.
2. Pengiriman Pesan. Bisa melalui email spam, web-based delivery, iklan jebakan     dalam web, IRC dan Instant Messaging (Yahoo Messenger, MSN Msgr, AOL, ICQ     dan lain-lain.). Bisa pula calon korban diajak untuk menuju situs buatan para     phisher yang mengandung trojan, jadi saat si korban membuka situs jebakan,     secara tidak sadar di belakang terjadi proses infeksi sistem oleh trojan.