De verdachte is de Oekraïner Denis K. Volgens de Spaanse politie had hij drie Russische en Oekraïense handlangers. De cybercriminelen gingen steeds op dezelfde manier te werk: eerst stuurden ze e-mails met besmette bijlagen naar medewerkers van banken. Die mails waren zogenaamd afkomstig van echte bedrijven. Als een nietsvermoedende medewerker de bijlage opende, werd de schadelijke software geïnstalleerd. Daarmee konden ze beetje bij beetje doordringen in de belangrijke systemen van banken.

De bende kreeg ook toegang tot de servers waarmee pinautomaten worden aangestuurd. Ze konden een automaat opdracht geven om geld ‘uit te spugen’. Een handlanger stond naast die automaat om het geld in ontvangst te nemen. De software kon er ook voor zorgen dat er meer geld op een bankrekening leek te staan, het saldo werd kunstmatig opgeblazen. Dat geld konden ze opnemen en wegsluizen.

Van de buit kocht de bende virtueel geld. Dat werd weggesluisd en witgewassen. Twee dure woningen van Denis K. en twee luxe auto’s zijn in beslag genomen, evenals dure juwelen en zijn computersystemen.

De bende begon eind 2013 met een malware die Anunak wordt genoemd. Die werd later verbeterd. De nieuwe versies heetten Carbanak en Cobalt. Onder de getroffen landen zijn België, Spanje, Groot-Brittannië en Rusland. Nederland bleef voor zover bekend buiten schot.