Gdy pierwsza fala ataków phishingowych uderzyła w sektor bankowy Republiki Irlandii we wrześniu 2006 roku, Bank Irlandii na początku odmawiał pokrycia szkód poniesionych przez klientów, jednakże straty w wysokości 113 000 euro ostatecznie pokryto. Phisherzy skupili się na klientach banków oraz serwisach płatności online. Maile rzekomo pochodzące z Internal Revenue Service były używane do zbierania wrażliwych danych amerykańskich podatników. Pierwsze takie ataki przeprowadzano bez pewności, że wiadomości trafią do klientów banków lub serwisów, pod które podszywali się oszuści. Badania pokazały, iż phisherzy w późniejszym okresie zdołali pozyskiwać informacje o tym, jakich banków używają potencjalne ofiary i wysyłać odpowiednio sprofilowane e-maile. Serwisy społecznościowe stały się celem ataków phishingowych ze względu na fakt, że dane personalne na tych stronach mogą zostać użyte do kradzieży tożsamości. Pod koniec 2006 roku robak przejął strony MySpace i wysyłał bezpośrednie linki do stron zaprojektowanych aby kraść dane logowania. Eksperymenty pokazały, że ponad 70% ataków phishingowych na serwisy społecznościowe kończy się sukcesem.