In ihrer Stellungnahme beschreibt die University of Nottingham den Vorfall als unbefugten Zugriff durch eine externe dritte Partei auf eine „erhebliche Menge“ an Daten. Noch sei man dabei zu ermitteln, welche Datensätze tatsächlich betroffen sind. Parallel dazu habe die Hochschule bereits aktuelle und ehemalige Studierende informiert, die von dem Zugriff betroffen sein könnten.
Nach Darstellung der Universität betrifft der Vorfall möglicherweise nicht nur den Standort Nottingham, sondern auch ihre Auslandsstandorte in Malaysia und China. In einer E-Mail an Studierende, die Recorded Future News vorliegt, erklärte die Hochschule, man gehe „vorsorglich davon aus, dass auf die folgenden Daten zugegriffen worden sein könnte“, bevor eine Liste möglicher Datentypen aufgeführt wurde. Welche Daten dies im Einzelnen sind, geht aus dem vorliegenden Quelltext jedoch nicht hervor.
ShinyHunters beansprucht den Einbruch derweil für sich. Die Gruppe erklärte auf ihrer Erpressungsseite, sie habe „mehr als 40 GB“ an Material erlangt, darunter Kreditkarten- und Zahlungsdaten. Damit steht die Hochschule einer öffentlichen Behauptung gegenüber, die über ihre bislang bestätigten Erkenntnisse hinausgeht.
Eine Auswertung der von der Gruppe teilweise veröffentlichten Daten durch HaveIBeenPwned zeichnet ein konkreteres Bild. Demnach umfasst das Material rund 455.000 „eindeutige E-Mail-Adressen sowie umfangreiche personenbezogene Informationen, darunter Namen, Anschriften, Telefonnummern, ethnische Zugehörigkeiten, Angaben zu Behinderungen, Passnummern sowie Informationen zu akademischen Einschreibungen und Gebührenzahlungen“.
Die Universität betont, dass sie gemeinsam mit einem externen Dienstleister an einer forensischen Untersuchung arbeitet. Ziel sei es, „den genauen Umfang der aufgerufenen Daten zu verifizieren“. Weitere Informationen wolle die Hochschule veröffentlichen, sobald die laufenden Untersuchungen Details bestätigt haben.
Im Zusammenhang mit den Angaben von ShinyHunters verweist der Quelltext auf ein bekanntes Muster der Gruppe: Bei Erpressungsversuchen habe sie ihren tatsächlichen Zugriff in der Vergangenheit mitunter falsch dargestellt. Dazu habe gehört, ältere Datensätze zu verwenden oder Informationen aus öffentlich zugänglichen Quellen zu beschaffen und diese dann als Beute aus internen Systemen auszugeben.