Nach den Gerichtsunterlagen begann die Erpressung unmittelbar nach dem Ende von Currys Vertrag am 10. Dezember. Einen Tag später verschickte er unter dem Alias „Loot“ und über die Adresse lootsoftware@outlook.com E-Mails an Dutzende Brightly-Beschäftigte. Zwischen dem 11. Dezember 2023 und dem 24. Januar 2024 drohte er, die gestohlenen Informationen offenzulegen, falls ihm nicht 2,5 Millionen US-Dollar Lösegeld in Kryptowährung gezahlt würden.
In einer der Erpressungsnachrichten kündigte Curry an: „Wir werden ab dem 1. Januar 2024 schrittweise damit beginnen, Gehaltsinformationen an alle Beschäftigten zu verbreiten, und wir werden Sie anschließend bei der SEC melden, weil Sie die Datenschutzverletzung nicht offengelegt haben.“ In einer weiteren Nachricht schrieb er: „Wenn Sie Ihre Daten zurückhaben möchten, empfehlen wir, dies rasch mit 2,5 Millionen US-Dollar zu tun, um Ihr Unternehmen und Ihre Aktien zu retten, da sich der Betrag mit jedem weiteren Monat um 100.000 US-Dollar erhöht. Die Unstimmigkeiten in Ihren Büchern liegen derzeit bei über 16 Millionen US-Dollar und bergen ein mögliches Risiko für Bindungsprobleme, ein feindseliges Arbeitsumfeld, Verbitterung und mehr.“
Den E-Mails fügte er zudem Bildschirmfotos mit personenbezogenen Daten von Beschäftigten bei. Dazu gehörten Namen, Geburtsdaten, Wohnadressen und Vergütungsinformationen. Außerdem drohte er, Brightly bei der US-Börsenaufsicht U.S. Securities and Exchange Commission zu melden, weil das Unternehmen die Datenschutzverletzung nicht offengelegt habe.
Nach den zahlreichen Erpressungs-E-Mails zahlte Brightly 7.540 US-Dollar in Bitcoin. Das Geld wurde an eine Kryptowallet überwiesen, die laut Bericht von Curry kontrolliert wurde. Nachdem das Unternehmen den Vorfall den Strafverfolgungsbehörden gemeldet hatte, durchsuchte das FBI am 24. Januar Currys Wohnsitz und beschlagnahmte verschiedene elektronische Geräte, die Beweismittel für seine Verbindung zu dem Erpressungsschema enthielten.
Brightly bestätigte BleepingComputer im März, dass dem Unternehmen die Verurteilungen des US-Justizministeriums gegen Cameron Curry wegen Erpressung bekannt seien. Weiter erklärte Brightly: „Wir haben in dieser Angelegenheit vollständig mit dem FBI und dem DOJ kooperiert und schätzen deren Ermittlungsarbeit. Da diese Verfahren anhängig sind, verweisen wir alle Fragen an die Strafverfolgungsbehörden.“
Unabhängig von diesem Fall hatte Brightly bereits im Mai 2023 eine andere Datenschutzverletzung offengelegt. Damals stahlen Angreifer aus der Datenbank der Online-Plattform SchoolDude Zugangsdaten und personenbezogene Informationen von fast 3 Millionen Kunden und Nutzern, darunter Namen, E-Mail-Adressen, Kontopasswörter und Telefonnummern. Laut Quelltext steht dieser frühere Vorfall nicht mit dem jetzigen Fall in Verbindung.