Depois de descobrir os pontos fracos e vulneráveis, ocorre o acesso diretamente no sistema, ou seja, é a parte onde efetivamente são realizados os ataques. Geralmente, os principais testes consistem em soltar backdoors para testar a facilidade de entrada e de manutenção do ataque.
Além disso, são usados outros ataques como a injeção de SQL. Assim, conseguindo entrar, os testes agora são para identificar o que é possível de fazer com aquele ataque efetuado, como por exemplo a mudança de uma senha ou o roubo de alguma base de dados. É também nesse momento que a engenharia social é realizada, usando um colaborador da empresa que não esteja ciente do processo realizado, para não interferir na sua participação