השב"כ והמשטרה עצרו החודש לחקירה את עומרי גורן, עובד ניקיון בביתו של הביטחון החשוד כי ניסה למסור מידע לאירן. בחקירה עלה כי גורן איתר, באמצעות תוכנת הטלגרם, כתובת של נציג קבוצת Black Shadow, פנה אליו בזהות בדויה והציג עצמו כמי שעובד אצל שר הביטחון הישראלי, וציין כי ביכולתו לסייע לקבוצה בדרכים שונות. עוד הוסיף, כי תמורת סכום כספי הוא יוכל להעביר מידע מהבית ואף הציע כי תועבר לו "תולעת מחשב", אותה ישתול במחשבו של השר.
על-מנת להוכיח את יכולותיו, במהלך החודש צילם גורן מספר פריטים בביתו של השר ושלח לנציג הקבוצה בטלגרם. בין הפריטים שצולמו: שולחן עבודה, מחשבים, טלפון, טאבלט, קופסה ועליה תווית ובה פרטי שיוך צה"ליים ומספרים סידוריים, מארז ועליו מדבקה ובה כתובת IP, כספת סגורה ומכונת גריסה, מזכרות צבאיות שניתנו לשר בתפקידו הקודם כרמטכ"ל, תמונות ממוסגרות של השר ובני משפחתו, חשבון תשלום ארנונה של השר ועוד. לאחר מכן, מחק גורן את כלל ההתכתבויות מהטלגרם, וכן את התמונות ממכשיר הטלפון שלו.
"כוונה זו סוכלה מבעוד מועד לאור מעצרו המהיר של גורן ובכך נמנע מימוש אפשרות זו. בנוסף התברר, במהלך החקירה, כי בכדי להוכיח יכולת ורצינות הוא צילם מספר פריטים במקומות שונים בבית השר, אותם שלח לגורם האמור, ובהם תמונות מחשבים של השר", נמסר מטעם השב"כ.
עוד צויין כי בשל אמצעים שונים ונהלי אבטחת המידע בבית השר, עובד הניקיון לא נחשף לחומרים מסווגים, ובהתאם לא היו חומרים כאלו שהועברו ממנו לגורמים עימם יצר קשר. החקירה התנהלה בידיעת שר הביטחון.
בתום החקירה הוגש על-ידי פרקליטות מחוז מרכז לבית המשפט המחוזי בלוד כתב אישום המייחס לנאשם עבירת ריגול.