ऑपरेशन थंडर चलाने के लिए रेलवे ने वैसे स्टेशनों का चयन किया, जहां से बड़ी संख्या में लोग यात्रा करते हैं और टिकटों की मारामारी रहती है। इन शहरों में दलालों का बड़ा नेटवर्क था, जिनपर पिछले छह महीने से आईटी और साइबर सेल के 500 विशेषज्ञों की नजर थी। आरपीएफ के महानिरीक्षक (आईजी) अरुण कुमार के अनुसार, नवंबर 2018 में भी कार्रवाई की गई थी, जिसके बाद सभी संदिग्ध दलालों पर रेलवे की नजर थी।
राजस्थान के शहरों से पकड़े गए दलाल टिकट बुक कराने के लिए 'लाल मिर्ची' नाम के साॅफ्टवेयर का प्रयोग करते थे। इसकी मदद से वे पहले से ही यात्रियों के नाम, पता, उम्र वगैरह कंप्यूटर में भर कर रखते थे और रिजर्वेशन बुकिंग खुलते ही तुरंत ऑनलाइन कंफर्म टिकट बुक कर लेते थे। यह साॅफ्टवेयर मुंबई से खरीदा गया था और इसमें एक साथ कई टिकट बुक करने की सुविधा होती थी।
रेलवे टिकट दलाली पर पहले भी कार्रवाई करती रही है, लेकिन दलाल छूटने के बाद अलग यूजर आईडी बनाकर फिर से अपना धंधा शुरू कर देते थे। हालांकि वे एक गलती यह कर देते थे कि जिन पेमेंट गेटवे से पहले भुगतान करते थे, उसे नहीं बदलते थे। साइबर टीम उनके पेमेंट गेटवे के आधार पर दलालों के पूरे नेटवर्क को ट्रेस कर रही थी। इसी आधार पर इतनी बड़ी कार्रवाई संभव हुई और दलालों का एक बड़ा नेटवर्क ध्वस्त कर दिया गया।