Napad pripisujejo skupini MoneyTaker, ki je doslej ukradla vsaj 14 milijonov dolarjev v več vdorih. Izmed teh so jih 16 izvedli v ZDA, pet v Rusiji in enega v Veliki Britaniji. Gre za skupino, ki je na radarju preiskovalcev že od lanskega leta. Čeprav MoneyTaker poizkuša dobro skrivati svoje akcije, da jih ne bi mogli pripisati isti skupini, so v Group-IB z analizo taktik, tehnik in postopkov uspeli povezati več kot 20 napadov. MoneyTaker je ena izmed treh najaktivnejših hekerskih skupin, ki napadajo finančne institucije. Drugi dve sta Cobalt in Silence.
Pri zadnjem napadu na PIR Banko so izkoristili ranljivosti v usmerjevalniku Cisco 800 Series, ki od leta 2016 ni več podprt. Napad se je začel maja, ko so uspeli pridobiti dostop do usmerjevalnika, kar tehnično ni bilo težavno. Ker so pobrisali dnevniške datoteke, ni znano, katero ranljivosti so dejansko izrabili. Ko so dobili dostop do usmerjevalnika, so se razgledali po bančnem internem omrežju. Dobili so dostop do sistema za medbančne transakcije AWS CBR (Automated Work Station Client of the Russian Central Bank), ki v Rusiji opravlja podobno funkcijo kot SWIFT. Potem so vnesli lažne transakcije in prenesli sredstva na več vnaprej pripravljenih računov pri 17 drugih bankah. Od tam so denar potem dvignili na bankomatih. Dejanske transakcije so izvedli 4. julija, ko so jih bančni uslužbenci tudi opazili, a so bili hekerji dovolj urni.
Tovrstni hekerski napadi na banke so pogostejši, kot bi si mislili. Omenjena skupina je v dveh letih izvedla več kot 20 dokumentiranih napadov, v kateri v povprečju ukradejo okrog pol milijona dolarjev. V največjem doslej so odnesli kar dva milijona dolarjev.
