1Acceso inicial: una cuenta ficticia comprometida
2Descubrimiento y control: permisos en aumento
3Copia ficticia de datos (nada sale de la pestaña)
4Bloqueo visual de los archivos
5Presión: la parte visible del incidente
Las fases avanzan solas cada 8 segundos; «Siguiente fase» adelanta a mano. «Aislar» detiene la secuencia en la fase en que esté. «Recuperar» solo se activa después de aislar.