As investigações policiais indicaram que o grupo se aproveitava da vulnerabilidade das vítimas. Com ligações alarmistas, os golpistas afirmavam que o estado de saúde do internado havia piorado e que seria necessária a realização de exames urgentes, que não seriam cobertos pelo convênio.
Ainda de acordo com as autoridades, os criminosos criavam a falsa urgência médica para a quitação do pagamento, e os familiares se sentiam pressionados a agir, sem tempo para checar a veracidade das informações. As transferências eram feitas sempre via Pix.