NPCIL erklärte, die im öffentlichen Raum beanspruchten Informationen beträfen nur gemeinsame Serviceeinrichtungen des konventionellen „Balance of Plant“-Pakets. Diese stünden nicht mit Systemen oder Informationen zur nuklearen Sicherheit oder nuklearen Sicherung in Verbindung. Die Unterlagen sollen demnach aus dem Vertragsbereich für Planung, Beschaffung und Bau dieses nichtnuklearen Infrastrukturteils stammen.
Ausgelöst wurde die Stellungnahme durch Berichte, wonach World Leaks tausende Dateien veröffentlicht habe, die offenbar dem Kernkraftwerk Kudankulam Nuclear Power Plant (KKNPP) zuzuordnen sind. Die Dateien wirkten wie technische Zeichnungen, Lieferanteninformationen, Besprechungsprotokolle, Inspektionsberichte und Versicherungsdokumente zu den Blöcken 3 und 4, die derzeit gebaut werden.
Wissenschafts- und Technologieminister Jitendra Singh wies laut lokalen Medien ebenfalls Darstellungen zurück, nach denen sensible Nuklearinformationen betroffen seien. Er sagte, es gebe derzeit keinen unmittelbaren Anlass für eine umfassendere Sicherheitsüberprüfung.
Die von World Leaks veröffentlichten Dateien waren als Material aus der Reliance Group gekennzeichnet. Deren Tochter Reliance Infrastructure errichtet die nichtnukleare Infrastruktur für die neuen Reaktoren in Kudankulam. Gegenüber Reuters, das zuerst über den Vorfall berichtete, erklärte Reliance Group, es habe einen „teilweisen Sicherheitsvorfall“ gegeben, der Daten auf einer von dem indischen Rechenzentrumsanbieter Yotta betriebenen Infrastruktur betroffen habe. Welche Informationen abgerufen wurden, teilte das Unternehmen nicht mit. Nach Angaben von Reliance wurde die indische Regierung informiert.
Yotta erklärte, man habe Ende Mai verdächtige Aktivitäten auf einem von Yotta gehosteten Server von Reliance Infrastructure festgestellt und diese sofort beendet. Dadurch sei eine mutmaßlich geplante Ausführung von Ransomware verhindert worden. Später habe Reliance Yotta darüber informiert, dass externe Bedrohungsakteure behaupteten, gestohlene Daten zu besitzen.
Yotta betonte, diese Behauptungen nicht unabhängig verifiziert zu haben. Das Unternehmen habe die Ergebnisse seiner forensischen Untersuchung mit Reliance Infrastructure geteilt und unterstütze die laufenden Ermittlungen weiter.
Der unabhängige Cybersicherheitsforscher Rakesh Krishnan, der das mutmaßliche Leck zuerst dokumentierte, sagte, World Leaks habe die Daten am 11. Juni veröffentlicht, nachdem der für die Gruppe typische Countdown abgelaufen sei. Nach seinen Angaben wurden fast 19.000 Dateien mit einem Gesamtumfang von rund 14,3 Gigabyte veröffentlicht. Die Dokumente tragen demnach Datierungen zwischen 2016 und Mitte 2025.
Krishnan zufolge könnten die Angreifer über offen erreichbare Remote-Desktop-Dienste, Phishing oder die Ausnutzung einer Fortinet-Schwachstelle eingedrungen sein. Öffentliche Belege für den genauen Angriffsweg gibt es jedoch nicht. Weder Reliance noch indische Behörden haben den Vorfall bislang öffentlich zugeschrieben oder offengelegt, wie sich die Angreifer Zugang verschafft haben sollen. Auch die Echtheit der Dokumente ließ sich nicht unabhängig bestätigen.
Für Kudankulam ist es nicht der erste Cybervorfall. 2019 wurde in einem mit dem Internet verbundenen administrativen Netzwerk der Anlage Schadsoftware entdeckt, die Forscher später mit der nordkoreanischen Lazarus Group in Verbindung brachten. NPCIL erklärte damals, das betroffene System sei von Reaktorsteuerung und Betriebsnetzen getrennt gewesen. CERT-In kam zu dem Schluss, dass der Anlagenbetrieb nicht beeinträchtigt worden sei.
Kudankulam ist nach Darstellung des Berichts bereits das zweite prominente indische Ziel, zu dem sich World Leaks in jüngster Zeit öffentlich bekannte. Im vergangenen Monat reklamierte die Gruppe auch einen Einbruch bei Tata Electronics für sich, einem indischen Hersteller, der Apple, Tesla und Qualcomm beliefert. Sie forderte 1,5 Millionen US-Dollar und veröffentlichte später nach eigener Darstellung vertrauliche technische Dokumente, nachdem das Unternehmen die Zahlung verweigert habe.
World Leaks entstand Anfang 2025 aus einer Umbenennung der Ransomware-Operation Hunters International. Anders als klassische Ransomware-Gruppen, die primär auf die Verschlüsselung von Dateien setzen, konzentriert sich die Gruppe laut Bericht zunehmend darauf, Daten zu stehlen und zu veröffentlichen, um Opfer zu Erpressungszahlungen zu drängen.