równolegle odnotowano podmiany stron (defacement) m.in. Kancelarii Prezesa Rady Ministrów, Sądu Okręgowego w Gdańsku, Muzeum Okręgowego w Toruniu, Schroniska dla Nieletnich w Stawiszynie oraz Sądu Okręgowego w Piotrkowie Trybunalskim. Ataki, wiązane z ruchem Anonymous, prowadzono w pierwszej fazie głównie za pomocą narzędzia LOIC (dostępnego zarówno jako aplikacja WWW, jak i program instalowany na komputerze), a następnie także HOIC; w generowanych przez nie żądaniach HTTP umieszczano hasła takie jak „STOP ACTA” czy „NO ACTA”, a większość źródłowych adresów IP pochodziła z Polski, co według CERT.GOV.PL świadczyło o dużym zaangażowaniu polskich internautów. Protesty przeciwko ACTA sprawiły, że liczba zgłoszeń ataków DDoS odnotowanych przez zespół wzrosła z 3 w 2011 roku do 23 w 2012 roku.
Jagoda Janik, opisująca protesty przeciwko ACTA jako przykład nowych mechanizmów demokracji bezpośredniej, wyróżnia dwa etapy akcji: pierwszy, w którym hakerzy ujawnili m.in. adresy e-mail i hasła części pracowników polskiego rządu oraz włamali się do baz danych niektórych instytucji, i drugi – masowy, polegający na jednoczesnym wchodzeniu na strony rządowe przez zainteresowanych internautów bez użycia technik hakerskich, co doprowadziło do zawieszenia działania tych stron.