Awalnya, tersangka hunting mencari sasaran. Setelah mendapat target dia melakukan serangan brutal menggunakan XMLRPC BF, yaitu sistem buatannya sendiri.
"Sistem itu untuk mendapat username dan password website target. Setelah didapat, tersangka login ke website tersebut dan menyusupkan shell backdoor untuk mendapat data. Selanjutnya, website itu dijual seharga Rp25-45.000 per website," katanya.
Arman mengatakan, terdapat ratusan website yang telah diretas pelaku. Beberapa di antaranya BPBD, Litbang dan Bappeda milik Pemkab Malang. "Motifnya, selain untuk keuntungan juga untuk menunjukkan eksistensi diri sebagai hacker di kalangan komunitas," katanya.
Atas perbuatannya, pelaku dijerat Pasal 32 ayat (1) Jo Pasal 48 ayat (1) dan/atau Pasal 32 ayat (2) Jo Pasal 48 ayat (2) UU Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik. Ancaman hukumannya sembilan tahun penjara dan denda Rp3 miliar.