De aanval op Google en zo'n dertig andere Amerikaanse bedrijven is getraceerd naar twee Chinese scholen, waaronder één die nauwe banden met het Chinese leger heeft, aldus bronnen die bij het onderzoek betrokken zijn. De infiltratie van het Google-netwerk zou mogelijk al in april hebben plaatsgevonden en niet begin december zoals eerst werd aangenomen. Op 12 januari liet Google weten dat vermoedelijk Chinese hackers bij het bedrijf en zo'n dertig andere ondernemingen hadden ingebroken. Het was de aanvallers te doen om bedrijfsgeheimen en e-mail van Chinese mensenrechtenactivisten.

Dekmantel
De ontdekking dat twee Chinese scholen achter de aanvallen zitten wordt als een doorbraak omschreven. Een Amerikaans defensiebedrijf dat ook slachtoffer werd, zou bewijs hebben waardoor onderzoekers een specifieke informatica-klas verdenken. De klas wordt door een Oekraïense professor geleid. Volgens anonieme bronnen gaat het om de Shanghai Jiaotong University en de Lanxiang Vocational School. Beide scholen blinken uit in IT-talenten.

Toch is er ook verdeeldheid over het onderzoek. Sommige analisten denken dat de scholen als dekmantel door het Chinese leger worden gebruikt, terwijl anderen de mogelijkheid open houden dat er een derde land achter de aanvallen zit. Ook zouden de aanvallen mogelijk niet het werk van de Chinese overheid zijn, maar gaat het om grootschalige bedrijfsspionage.

IP-adres
Een Chinese informaticaprofessor die op Jiaotong les geeft, is niet verrast door het nieuws. Het komt vaker voor dat studenten buitenlandse websites hacken. Aan de andere kant zou het ook kunnen dat de IP-adressen van de universiteit door anderen zijn gekaapt, iets wat regelmatig gebeurt. Een decaan aan Lanxiang acht het onmogelijk dat zijn studenten in staat zouden zijn om Google of andere Amerikaanse bedrijven te hacken, omdat ze gewoon niet voldoende kennis hebben. Vier op de vijf studenten van Lanxiang wordt uiteindelijk door het Chinese leger gerekruteerd.

De New York Times meldt verder dat de aanval mogelijk toch via een e-mail conversatie is verlopen. In eerste instantie werd aan een sociaal netwerk gedacht, waarbij het slachtoffer met Internet Explorer 6 een link opende. Nu zouden de aanvallers het e-mailaccount van iemand hebben gekaapt, om op een al lopende conversatie mee te liften. Het versturen van een bericht met een kwaadaardige bijlage of link zou zodoende een veel grotere kans van slagen hebben.