Hackergruppen stjal data fra fintech-virksomheden Meridianlinks netværk den 7. november og forsøgte derefter at forhandle sig frem til en løsesum for ikke at lække de stjålne data.

Da det ikke lykkedes, valgte hackergruppen at sladre til US Securities and Exchange Commission, SEC, om Meridianlinks' manglende rapportering af databruddet i tide.

Alle børsnoterede virksomheder i USA skal nemlig indenfor fire dage rapportere cyberangreb, der kan have en "betydelig indflydelse på investeringsbeslutninger".