A bűnszervezet tagjai minden egyes sértett megtévesztésénél ugyanazt a sémát használták: megszerezték azokat a nyilvánosan is hozzáférhető adatokat, melyeket az intézmények által kezdeményezett közbeszerzési eljárás eredményéről tudni lehetett, majd kapcsolatba léptek mindkét – a pályázatot kiíró, és a megbízást elnyerő – féllel. Először telefonon felhívták a megbízást elnyerő cég dolgozóját és elhitették vele, hogy a pályázatot kiíró informatikai rendszere meghibásodott, és emiatt nem állnak rendelkezésre a kifizetéshez szükséges olyan információk, mint például a kiállított számla száma, a teljesítés határideje és összege.

Miután megkapták a kifizetéshez szükséges adatokat, második lépésként az érintett cég nevében felhívták a pályázatot kiíró fél képviselőjét és közölték vele, hogy megváltozott az a bankszámlaszám, ahová az utalást teljesítenie kell. Ezt követően a számlaváltozás tényét e-mailben is megerősítették, felhasználva az adott vállalkozás logóját, bélyegzőjét és ügyvezetőjének nevét. Sok esetben az elektronikus levelet az eredetihez megtévesztésig hasonló címről küldték, így a gyanútlan fizetőben fel sem merült, hogy az utalást végül a csalók részére teljesítik. A megtévesztésig hasonló e-mail-címek létrehozásához a domainnevekért kriptovalutával fizettek az elkövetők, IP-címük elrejtéséhez pedig VPN titkosítást használtak, hogy ezzel is elrejtsék digitális nyomaikat. A csalók részére kifizetett pénz így végül szinte nyom nélkül landolt olyan bankszámlákon, melyeket a bűnöző csoport főszervezői strómanokkal nyittattak különböző bankfiókokban.

A strómanok a bankszámlaszámok létrehozásakor saját nevükre nyitották meg a számlákat, azonban azok teljes hozzáférését, az internetbank-eléréssel együtt átadták a szervezőknek, és a számlákhoz rendelt hívószámok is a szervezet felső köreihez kapcsolódtak. A strómanok feladata volt még, hogy a bankszámlákra érkező összegeket vagy készpénzben, vagy több kisebb összegben történő utalással juttassák el beszervezőiknek.

A sértettek akkor jöttek rá, hogy eltűnt az átutalt pénzük, amikor az elmaradt kifizetéseket egyeztették a cégekkel; ekkor vált mindkét félnek nyilvánvalóvá, hogy a számlaszám nem változott meg és a megbízó a szerződés szerinti összeget egy stróman részére utalta át.

A csalások sorozatjellege miatt a Budapesti Rendőr-főkapitányságon 2019 áprilisában alakult két nyomozócsoport a bűncselekmények felderítésére, majd négy hónappal később az ország többi megyéjében hasonló módszerrel elkövetett bűncselekmények felderítését is összehangolták. A nyomozásban a budapesti rendőröknek segítséget nyújtott a hazánkba delegált szlovák belügyi attasé, valamint az Europol összekötő tisztjei és az Europol pénzmosás elleni küzdelemmel foglalkozó egysége is. A rendőrök először két különböző külföldi szerveződésű bűnözői kör irányába kezdtek el nyomozni, de hamar kiderült, hogy a számlaváltós csalásokat ugyan különböző nemzetiségű, de egyazon csoporthoz köthető személyek irányítják; a szervezetet mozgató elkövetői kör tagjait egymás után azonosították, majd megkezdődött a hálózat felszámolása.

A BRFK Gazdasági Bűnözés Elleni Főosztály nyomozócsoportjai végül tizennyolc hónap alatt véget vetettek a bűncselekménysorozatnak; a rendőrök 2020. október 9-én az egyik telefonos csaló, B. Krisztián szlovák állampolgár elfogásával szakították meg a szériát, majd a nyomozás során további elkövetőket sikerült felkutatni és elfogni. A rendőrök összehangoltan, egyszerre több helyszínen ütöttek rajta a strómanokon és a szervezet felsőbb szintjén helyet foglaló szervezőkön, főszervezőkön. Az országszerte végrehajtott elfogásokat más rendőri egységeknél dolgozó kollégák is segítették, volt olyan nap, hogy egyetlen akcióban 130-an vettek részt.

A BRFK a 2016. október 17. és 2020. október 9. között elkövetett bűncselekmény-sorozatban különösen nagy értékre, üzletszerűen elkövetett csalás és pénzmosás miatt folytatja az eljárást, a gyanúsítások emellett közokirat-hamisítás megalapozott gyanújával is bővültek.

A gyanúsítottak a bűncselekmények során 43 sértettől csaltak ki közel 1,2 milliárd forintot, de ennél jóval több intézménynél próbálkoztak, azonban ezeknél 51 esetben nem sikerült a megtévesztés. A nyomozók az eljárásban számos strómant, szervezőt, köztük a főszervezőket is elfogták; összesen 95 embert hallgattak ki gyanúsítottként, az irányító ellen pedig elfogatóparancsot adtak ki. A nyomozók megállapították, hogy a gyanúsítottak a bűncselekmények során 92 e-mail-címet, 51 telefonszámot és 59 magyar bankszámlát használtak, a csalás sértettjei közt szerepeltek kórházak, színházak, múzeumok, önkormányzatok, sportegyesületek, oktatási- és egyházi intézmények, közmű szolgáltatók, valamint nemzeti park is.

A nyomozás során 262 millió forintot foglaltak le a rendőrök, a megtérült kár visszaszerzésében mindvégig segítette a nyomozócsoportok munkáját a BRFK Vagyon-visszaszerzési Alosztálya.