Die Auseinandersetzung um den Umfang des Angriffs begann, als sich die Gruppe Black Spark öffentlich zu einem Einbruch bei Microolap bekannte. Nach eigener Darstellung hielt sie sich über einen Monat lang im Netzwerk des Unternehmens auf und erlangte Zugriff auf interne Systeme, darunter die Netzwerkverkehrs-Analyseplattform EtherSensor. Zudem will die Gruppe Daten mehrerer Kunden extrahiert und anschließend gelöscht haben.
Genannt wurden dabei prominente Namen der russischen Wirtschaft: die Russische Eisenbahn, der staatliche Hersteller von Banknoten und Dokumenten Goznak, die VTB Bank und deren Leasingtochter sowie das IT-Unternehmen NEK.TECH. Belegen soll das eine Reihe von Screenshots, die die Angreifer veröffentlichten und die kompromittierte Systeme sowie erbeutete Daten zeigen sollen. Eine unabhängige Prüfung der Aufnahmen war nicht möglich.
Einen Tag später meldete sich Microolap zu Wort. Das Unternehmen bestätigte, dass Teile seiner Systeme kompromittiert wurden, wies die Schilderung der Angreifer zur Reichweite des Vorfalls jedoch zurück. Nach eigenen Ermittlungen erlangten die Eindringlinge Zugang zu mehreren selten genutzten Entwicklungssystemen, die bei einem anderen russischen Anbieter gehostet werden, zu einer veralteten Version der Unternehmenswebsite sowie zu einem alten Bitrix24-System für die Kundenverwaltung, in dem sich nur eine begrenzte Menge an Daten befunden habe.
Diese Systeme seien von der Kerninfrastruktur isoliert gewesen, betont Microolap. Ein Zugriff auf EtherSensor oder auf Daten von Kunden und Partnern sei dadurch nicht möglich gewesen. Weder Produktivsysteme noch für EtherSensor kritische Komponenten seien betroffen; die Plattform habe durchgehend normal weitergearbeitet, ohne Auswirkungen auf Leistung, Datenintegrität oder Verfügbarkeit.
Als Reaktion nahm das Unternehmen die veraltete Website vom Netz und führte zusätzliche Sicherheitsmaßnahmen ein. Die Aufarbeitung des Vorfalls erfolge gemeinsam mit „einem der größten russischen Cybersicherheitsunternehmen", dessen Namen Microolap nicht nannte.
Geschäftsführer Andrey Smirnov stellte sich in seiner Stellungnahme demonstrativ hinter die eigene Abwehr: Man habe den Vorfall erkannt und die kritischen Daten gesichert, die Darstellungen der Angreifer dürften nicht als gesicherte Tatsache gelten.
Black Spark selbst beschreibt sich als „Untergrundbewegung in Russland". In einem auf Telegram veröffentlichten Manifest erklärte die Gruppe, ihre Mitglieder seien in Russland geblieben und hätten sich für das entschieden, was sie „bewaffneten Widerstand" nennt.