このURLは、地域でのコミュニティー形成支援サービス「Meetup」にある、“ページ・トンプソンが作成した”グループ「Seattle Warez Kiddies」から入手した。このグループは現在利用できなくなっている。Capital Oneの発表やFBIの訴追内容など、報告書完成時までに公表されていた情報を基に、ソーシャルメディアの手掛かりをたどって容疑者に対する理解を深め、過去数カ月間の行動を突き止めた。

　ヒル氏によると、CyberIntの研究チームはソースコード共有サービス「GitHub」のアカウントや、ソースコード共有ソフトウェア「GitLab」のユーザーページ、Slackチャンネルで共有されたスクリーンショットを通じて情報をたどった。このスクリーンショットについて同氏は、「画面の右側には、現在実行中のプロセスをリストアップするLinuxコマンド『htop』の出力情報が表示されているようだ」と説明する。この出力情報には、「Command」というヘッダの下に、多数の「tar --remove-files」コマンドを実行するプロセスがある。これは「データを圧縮し、その後元データを削除する」指示を与えるコマンドだ。これらの圧縮ファイルは、Slackチャンネルに見られる通り、他の被害の可能性を表しているという。

合計485GBのデータが流出したと推測

　このスクリーンショットに表示されたファイル名と、それに言及したSlackチャンネルのメッセージから判断すると、トンプソン容疑者はCapital Oneの情報流出に加え、他のさまざまな組織から計485GBのデータを盗んでいた可能性がある。この中には、自動車メーカーFord Motorといった、ファイル名からしか被害を推測できない組織があった。一方でオハイオ州運輸局、ミシガン州立大学（Michigan State University）、ネットワーク機器ベンダーInfoblox、通信事業者Vodafone Groupなど、erraticが直接メッセージで言及していた組織もあった。

　CyberIntはこうした組織に直接連絡を取らなかった。同社は「われわれが調査によって回避可能な特定の脆弱（ぜいじゃく）性を発見した場合、またはわれわれの脅威インテリジェンスシステム（脅威に関する情報を集約し、検出するシステム）が脅威を検出した場合、組織に連絡する」ことをポリシーとしている。

　「今回の調査では、Capital Oneの情報流出に照準を絞り、容疑者の戦術、技術、手順について調べた結果、特定の脆弱性や現存する脅威の発見ではなく、他にも被害者がいる可能性があることが分かった」とヒル氏は述べる。CyberIntの報告書は、そうした調査結果に基づいて、今回の手口について懸念がある場合のアドバイスを提供している。

　TechTargetは、erraticのSlackチャンネルやファイル名において、直接または間接的に言及されていた一部の組織に連絡を取った。

　オハイオ州運輸局にはコメントを求めたものの返答はなかった。Ford Motorは情報が流出していないかどうか確認するための調査を進めていることを明らかにした。ミシガン州立大学の広報も「調査を実施しており、捜査当局に協力している」と説明した。ただし同校によると、現時点では同校が被害に遭ったことを裏付ける証拠はない。

　Infobloxの広報は「この問題については調査を続けている」と話すが、現時点では同社が何らかの形でCapital Oneの情報流出に関わったことを示す痕跡はないと説明する。不正侵入やデータ流出が原因でInfobloxの顧客情報が露呈された形跡もないという。Vodafoneの広報は、セキュリティには真剣に取り組んでいると強調した上で、「当社は、Capital Oneのセキュリティ侵害に関連する情報については一切認識していない」と説明する。