Kyushu Electric Power Co., Inc. beschreibt den Vorfall als physisches Sicherheitsereignis. Nach Unternehmensangaben führt die IT-Abteilung regelmäßig Backups durch, um den Speicher auf Servern zu verwalten. Wegen begrenzter Kapazitäten wurde dafür am 27. April ein externes Speichermedium eingesetzt.

Danach wurde das Laufwerk in einem Schrank im Serverraum gelagert. Dieser Bereich war laut Unternehmen durch mehrere physische Schutzebenen gesichert. Am 26. Mai bemerkten IT-Mitarbeiter bei der Rückholung des Geräts jedoch, dass der Schrank unverschlossen war und der Datenträger nicht mehr vorhanden war.

Kyushu Electric gehört zu den großen regionalen Energieversorgern Japans und beliefert die gesamte Region Kyushu, darunter die Präfekturen Fukuoka, Saga, Nagasaki, Kumamoto, Oita, Miyazaki und Kagoshima. Die Region hat insgesamt 12,6 Millionen Einwohner. Das Unternehmen teilte mit, dass der Vorfall bis zu 10,9 Millionen Konten betrifft.

Welche konkreten Daten sich auf dem verschwundenen Laufwerk befanden, geht aus dem Quelltext nur insofern hervor, als es sich um private Kundendaten handelte. Kyushu Electric stellte ausdrücklich klar, dass weder Bankverbindungsdaten noch Kreditkartendaten auf dem Datenträger gespeichert waren. Das Unternehmen kündigte außerdem an, betroffene Kunden einzeln zu informieren.

Seit dem Verschwinden des Laufwerks hat das Unternehmen nach eigenen Angaben alle Personen befragt, die den Serverraum betreten hatten, und interne Untersuchungen durchgeführt. Der Datenträger konnte dennoch nicht gefunden werden. In einer Mitteilung heißt es: „Das Unternehmen prüft alle Möglichkeiten, einschließlich einer unbefugten Entfernung des Geräts, doch es wurde bislang nicht gefunden.“

Medienberichten zufolge hatten 57 Personen Zugang zu dem betreffenden Serverraum. Wie berichtet wird, erstattete Kyushu Electric zudem am 4. Juni Anzeige bei der Polizei, weil der Verdacht besteht, dass jemand das Laufwerk entfernt hat.

NHK One berichtete weiter, dass das japanische Ministerium für Wirtschaft, Handel und Industrie dem Unternehmen eine Frist bis zum 8. Juli gesetzt hat. Bis dahin soll Kyushu Electric sämtliche Details zu dem Vorfall sowie zu den ergriffenen Präventionsmaßnahmen vorlegen.

Der Vorfall wurde außerdem an Japans Personal Information Protection Commission und an die zuständigen Regierungsbehörden gemeldet.