השב"כ והמשטרה עצרו לחקירה את עומרי גורן, עובד ניקיון בביתו של הביטחון החשוד כי ניסה למסור מידע לאיראן.
בחקירתו עלה כי גורן פנה מיוזמתו, ימים ספורים קודם למעצרו, באמצעות רשת חברתית, לגורם המזוהה עם איראן והציע לסייע לו בדרכים שונות, נוכח גישתו לבית השר. בין היתר, העלה אפשרות כי תועבר לו על-ידי אותו גורם תוכנת נוזקה אשר תאפשר נגישות למחשב המשמש את השר.
"כוונה זו סוכלה מבעוד מועד לאור מעצרו המהיר של גורן ובכך נמנע מימוש אפשרות זו. בנוסף התברר, במהלך החקירה, כי בכדי להוכיח יכולת ורצינות הוא צילם מספר פריטים במקומות שונים בבית השר, אותם שלח לגורם האמור, ובהם תמונות מחשבים של השר", נמסר מטעם השב"כ.בכתב האישום נגדו נטען כי גורן איתר, באמצעות תוכנת הטלגרם, כתובת של נציג קבוצת Black Shadow, פנה אליו בזהות בדויה והציג עצמו כמי שעובד אצל שר הביטחון הישראלי, וציין כי ביכולתו לסייע לקבוצה בדרכים שונות. עוד הוסיף, כי תמורת סכום כספי הוא יוכל להעביר מידע מהבית ואף הציע כי תועבר לו "תולעת מחשב", אותה ישתול במחשבו של השר.
על מנת להוכיח את יכולותיו, במהלך החודש צילם גורן מספר פריטים בביתו של השר ושלח לנציג הקבוצה בטלגרם. בין הפריטים שצולמו: שולחן עבודה, מחשבים, טלפון, טאבלט, קופסה ועליה תווית ובה פרטי שיוך צה"ליים ומספרים סידוריים, מארז ועליו מדבקה ובה כתובת IP, כספת סגורה ומכונת גריסה, מזכרות צבאיות שניתנו לשר בתפקידו הקודם כרמטכ"ל, תמונות ממוסגרות של השר ובני משפחתו, חשבון תשלום ארנונה של השר ועוד. לאחר מכן, מחק גורן את כלל ההתכתבויות מהטלגרם, וכן את התמונות ממכשיר הטלפון שלו.
בשב"כ מציינים כי בשל אמצעים שונים ונהלי אבטחת המידע בבית השר, עובד הניקיון לא נחשף לחומרים מסווגים, ובהתאם לא היו חומרים כאלו שהועברו ממנו לגורמים עימם יצר קשר. החקירה התנהלה בידיעת שר הביטחון.
במהלך החקירה התברר כי לעצור עבר פלילי עשיר הכולל חמש הרשעות ו-14 תיקים במשטרה בשנים 2013-2002, בין השאר בגין שני אירועי שוד בנק, פריצה לבתים, גניבה ועוד. הוא נדון לארבעה מאסרים, האחרון שבהם בגין שוד היה לארבע שנים.
בתום החקירה הוגש על ידי פרקליטות מחוז מרכז לבית המשפט המחוזי בלוד כתב אישום המייחס לנאשם עבירת ריגול.
לצד ההצלחה בסיכול, הוחלט בשב"כ לקיים תחקיר בנוגע לתהליכי הבדיקה, מתוך מטרה לצמצם האפשרות להישנות מקרים מסוג זה בעתיד.