セキュリティ教育機関のSANS Instituteは、職員が受信したフィッシングメールを通じて一部に個人を特定可能な情報を含む約2万8000件のデータが侵害されたことを明らかにした。
SANSによると、データ侵害は8月6日に発覚した。電子メールの設定やルールの監査を行ったところ不審なメール転送が分かり、513通のメールが不審な外部のメールアドレスに送られていた。このメールには、氏名や企業名、肩書き、職場の電話番号、業種、住所、居住地域名などの情報を含むファイルが添付されていたという。この中にパスワードや金銭に関する情報は含まれていないとしている。
調査からデータ侵害は、1人の職員が受信したフィッシングメールが原因と判明した。攻撃者は外部アドレスにメールを転送するとともに、不正なOffice 365のアドオンのインストールを試みたといい、これによってOffice 365の資格情報へのアクセスが1件許可されたが、実際に情報は漏えいしなかったとする。現在までに外部への転送や不正なOffice 365のアドオンの設定を削除し、ほかに影響がないことを確認したという。
SANSは、今回の攻撃が標的型ではなく金銭を目的にしたものだった可能性があるとコメントし、影響を受けた個人などを特定して個別に連絡するとしている。また、今回のインシデントが米国や欧州連合（EU）の情報セキュリティ法規制に抵触するものではないと結論付けたが、当局の指導には従うとした。
今後の調査で全容などが判明すれば、今回の経験をセキュリティトレーニングに反映していきたいともしている。
