במשך שמונה חודשים ועד ליום ה-23.12, שהה חליל עיוש, 21, מאלעיזריה, בישראל מבלי שהיו לי אישורי שהייה ועבודה רשמיים כחוק , ובאמצעות תעודת זהות מזויפת עליה הוטבעה תמונתו ותאריך הלידה שלו בלבד, הציג עצמו כמורשה עבודה ושהיה בפני הנהלת חברת פוקס והחל לעבוד בחברה במתחם האייר פורט סיטי הסמוך לנתב"ג. כשבוע לפני שנחשפה התרמית, הצטרף לעבודה במחסן החברה גם יזן דבאבסה , בן ה – 23 מהכפר יטא שבשטחים, גם הוא באמצעות תעודת זהות מזויפת וכשהוא שוהה בישראל בניגוד לחוק (שב"ח) .
אלא, שביקורת פנימית בהנהלת פוקס הובילה לממצאים מהם עלה החשד לפיו מדובר בשני פלסטינים תושבי שטחים שב"חים שהערימו על המעסיקים שלהם תוך שימוש בתעודות זהות מזויפות והוגשה תלונה במשטרת ראש העין. במסגרת חקירה שניהלו שוטרי תחנת ראש העין , נעצרו עיוש ודבאבסה , ומחקירתם במשטרה עלה כי במהלך חודש אפריל רכש עיוש בתמורה לסכום של 500 ₪, מגורם שלישי שפרטי זהותו ידועים למשטרה, תעודת זהות ישראלית ובה פרטיו של סאלם אלעמראני עם מספר זהות 323982066 כשעליה שונה תאריך הלידה ותמונתו של עיוש.
עוד עלה כי במהלך תקופתו העסקתו השתכר עיוש בסכום העולה על 38 אלף ₪ בסך הכל היינו מעל ל – 7,600 ₪ לחודש. החקירה העלתה כי בכל אותה תקופה סברו בחברת פוסט כי מדובר בערבי ישראלי וזאת עד ליום ה – 23.12 השנה וזאת כאמור בעקבות בדיקה כשבוע לאחר קליטתו של העובד השני דבאבסה , שכן לשני המעורבים נמכרו תעודות זהות הנושאות את שם ואותו מספר זהות כביכול .
ביקורת נוכחות על ידי קצין הבטיחות של פוקס, משה צבי גרינברג, הובילה כאמור לחשיפת החשד לפיו מדובר בשב"חים והוא הזעיק את המשטרה.
גם בפני השוטרים שהגיעו למתחם האיירפורט סיטי ניסו השניים להתחזות וטענו כי הם תושבי רהט לפחות אחד מהם. בתום חקירה מהירה ומואצת , הגישה חטיבת התביעות של המשטרה במחוז מרכז בבית משפט השלום בפתח תקווה כתב אישום ובקשה למעצר עד תום ההליכים כנגד השניים. כתב האישום נפתח בהודעה לפיה ב-7.10 אירעה מתקפת חמאס בעטיה הוחמרו הנהלים ונאסרה הכניסה של תושבי שטחים לעבודה בישראל.
גורם המעורה בפרטים הוסיף כי "המשטרה תמשיך את החקירה בנוגע למנפיק תעודות הזהות המזייפות ותמצה גם איתו את הדין".