Em vários incidentes do período, o volume de dado alegado por quem atacou não coincidiu com o que a empresa atingida confirmou. A diferença é rotineira e tem causa estrutural.
Quem ataca tem interesse em inflar. Número grande aumenta a pressão para negociar, valoriza o material em fórum de venda e rende manchete, que é parte da alavanca.
Quem foi atingido tem interesse oposto, e nem sempre por má-fé. Confirmar registro exposto aciona obrigação de notificar pessoa por pessoa em várias jurisdições, com custo direto e prazo curto, então a empresa só confirma o que conseguiu verificar.
O efeito prático dessa assimetria recai sobre quem foi exposto: no intervalo entre o anúncio e a confirmação, a pessoa não sabe se o próprio dado está no pacote, e é justamente nesse intervalo que golpe dirigido costuma funcionar melhor.
Para quem opera sistema, a lição é sobre comunicação, não sobre defesa: ter pronta a mensagem que informa o que se sabe, o que ainda não se sabe e o que a pessoa deve fazer nesse meio-tempo vale mais que uma nota que promete apurar.