רועי הכיר היטב את העיקרון לפיו אנשים סומכים על הסביבה המוכרת שלהם, וממעטים לפקפק בה – וניצל אותו עד תום. תרמית הפישינג שלו ניצלה טכניקות של הנדסה חברתית בשילוב עם משלוח ממוקד של הודעות דואר אלקטרוני מתחזות: הוא כתב והריץ שאילתא מול מאגר רשימות הנוכחות במפגשי הריענון של נושאי אבטחת מידע המתקיימים מדי רבעון, על-מנת לזהות את מי שמחמיצים את רוב המפגשים האלה והתחיל בהם את המסע השיטתי שלו לעבר הכסף.

כתובות ה- IP בהן השתמש היו ממוסכות היטב והובילו בסופו של דבר לניגריה, המוכרת כמוקד למבצעי עוקץ מקוונים. המומחיות הטכנית שנדרשה ממנו כאן הייתה גבוהה למדי. לעומת זאת, הטכניקה של סיכון דוא"ל עסקי שבה השתמש, לא דרשה כל תוכנות זדוניות או חדירה מתוחכמת: הכל מתחיל באותה הנדסה חברתית, שבה זיהה ותיעד את המבנה הארגוני, השתלט על תיבות דואר של בעלי תפקיד, והפעיל דפים מזוייפים במסגרת פורטלים יחידתיים וכלל צה"ליים.

כמו אבני דומינו הערוכות בסדר מופתי רק על-מנת ליפול זו אחר זו, גם פרטי זיהוי וססמאות של משתמשים נחשפו בשרשרת. עכשיו, אפשר היה להשתמש בחשבונות הפרוצים כדי לשלוח צרופות וקישורים מזויפים אל משתמשים אחרים, בתקווה שהנמענים ילחצו עליהם. ההודעות המתחזות לא כללו תוכנה זדונית או קוד זדוני כל שהם – אלא קישור לדף כניסה מזויף של DocuSign ששימש להנפקת אישורי כניסה. יותר מ- 250 אישורים מזוייפים כאלה נולדו כבר בשבוע הראשון לפעילות.

מסע תרמית הדיוג התמקד בגופים המשלמים לספקים של הצבא ומשרד הביטחון ברכש מוצרים ושירותים מכל סוג. רועי, ששחה במערכות המחשוב הצבאיים כדג ברשת, ידע להקים ספקים חדשים, פיקטיביים – ולהתחיל בהונאה עצמה. מרגע שבו הונפקו אישורי כניסה מזוייפים אל תוך הרשתות הפנים ארגוניות – התחילה ליבת ההונאה: המטרה הסופית הייתה להוביל את הצבא לשלוח כסף לחשבונות בנק בהם שלט רועי מרחוק, כאילו מדובר בתשלום עבור שירות לגיטימי אותו קיבלה מערכת הביטחון. חשבונות הבנק אליהם נותבו הכספים, היו קשורים בדרך כלל לחברות קש בהונג קונג או בסין. לאורך הדרך, למד רועי מי במסגרת המערכת אחראי להכנסת שינויים בפרטי המוטבים כאשר נדרשים שינויים כאלה בנסיבות רגילות, ומה המסמכים הנדרשים כדי לזייף הזמנות ואישורי תשלום הנדרשים על-ידי מערכות הניהול הפנימיות. כך, למשל, דאג להקים שמות מתחם אינטרנטיים הדומים להפליא לאלה של ספקי שירותים לגיטימיים אליהם התחזה: שינוי או הכפלה של אות בודדת, סיומת.net במקום.com, או com. במקום co.il – והפעילות מנותבת אל האתר המתחזה. המטרה הסופית היתה לשטות בגופים המשלמים, ולגרום להם להאמין, כי הספק שינה את פרטי חשבון הבנק שלו – תוך ניתוב הכספים המגיעים לו אל חברת הקש.

מלבד ידע בסיסי בהגדרת שמות מתחם וכתובות באינטרנט, מערכות אימות זיהוי משתמשים וחתימות DocuSign, פורטלים והגדרת מסננים לדואר אלקטרוני – לא נדרש רועי לכתיבה של קוד כל שהוא: כל מה שהיה עליו לעשות, הוא להבין את אופן החשיבה של משתמשים בעידן הנוכחי – ולנצל את הרגלי החשיבה והפעילות האנושית במסגרת ארגונים ורשתות.

עשרות אלפי דולרים זרמו לחשבונות בסין ובהונג קונג, מתפוגגים ומתאיידים מספרי התקציב.

אלא שחודש לאחר שהחל בתרמית הפישינג שלו – התייצב רועי במשרדו של זיסר, ודיווח, כי חשף ניסיון זדוני להונות את הצבא. מומחי הגנת הסייבר של אגף המחשוב אישרו את הממצאים, וקבעו כי מדובר בקבוצה ניגרית מאורגנת היטב, שעליה דווח עוד באותו שבוע בבלוג של חטיבת האבטחה של סיסקו. רועי זכה לתעודת הוקרה בחתימת האלוף. הוקרה חשובה יותר, מבחינתו, היתה שידרג הרשאות הניהול שלו במסגרת המערכת. עכשיו, ובעזרתן, יכול היה לעבור לשלב השני בתוכנית הגדולה שאותה הגה, זה של היחידה המיוחדת.