L'enquête ayant mené à l'arrestation de sept personnes a débuté en février 2016 selon des informations du Nouvel Obs. La DGSI et le Service interministériel d’assistance technique (SIAT), spécialisé dans l'infiltration, ont dirigé conjointement l'enquête.
Selon l'hebdomadaire, les services de renseignement auraient été informés d'un projet d'attentat lors de l'Euro 2016. Il aurait été commandité par un homme basé en Syrie, surnommé «le Syrien» et dont l'identité est inconnue. Cinq personnes vivant en région parisienne auraient été en contact avec lui, ils auraient défini comme cible les fans zones et les matchs. Les enquêteurs auraient identifié ces personnes comme les financiers du projet – aucun d'eux n'était fiché pour terrorisme – utilisant des prêts à la consommation pour amasser de fortes sommes. Les services de renseignement ne les auraient pas interpellés immédiatement afin de pouvoir remonter la piste jusqu'aux opérationnels.
Pourtant, à la veille de l'Euro, alors qu'ils n'avaient encore aucune piste, les enquêteurs auraient décidé d'interpeller les cinq hommes pour éviter tout risque d'attaque pendant la compétition.
Les services de renseignement n'auraient cependant pas abandonné l'idée d'arrêter les opérationnels. Pour mettre la main sur le commando qui courait toujours, ils auraient indiqué au Syrien que des armes étaient disponible dans une cache en région parisienne. Ils auraient mis la cache sous surveillance constante, mais rien ne se serait passé pendant des mois, jusqu'à ce que l'affaire rebondisse finalement en novembre. Le titre cite une source anonyme qui explique : «Acculés par les défaites sur place, des membres de l’Etat islamique surveillés ont contacté des gens en France. Ils voulaient taper à tout prix.»
Sept personnes âgées de 29 à 37 ans sont interpellées sans attendre entre Strasbourg et Marseille, de nationalités française, marocaine et afghane, aucun d'eux n'était connu des services de renseignement français.
Le Nouvel Obs écrit également que les policiers pensent avoir appréhendé à Marseille les «banquiers» du commando, n'ayant saisi que de l'argent liquide. A Strasbourg, une source policière citée par le journal explique qu'il est possible que ce soient les opérationnels de l'opération : «Vu l’arsenal retrouvé chez eux et la violence de la documentation, ils auraient pu passer à l’action très rapidement.» Lors des perquisitions, plusieurs armes ont été saisies dont un pistolet-mitrailleur de type Uzi, quatre pistolets automatiques ainsi que des munitions.
Sur l'identité des personnes interpellées, le journal évoque un employé périscolaire de Strasbourg chez qui deux armes auraient été retrouvées.