Hãng thông tấn Reuters đã phỏng vấn năm cựu nhân viên của Microsoft và được biết, CSDL theo dõi lỗi của công ty đã bị tấn công khi đó chỉ được bảo vệ sơ sài bằng mật khẩu và xác thực ở cấp thấp. Như tên gọi cho thấy, CSDL đó chứa thông tin về các lỗ hổng nghiêm trọng và chưa được vá trong các phần mềm được sử dụng rộng rãi nhất trên thế giới, trong đó có cả hệ điều hành Windows.

Những cựu nhân viên được phỏng vấn cho rằng, cuộc tấn công do một liên kết các nhóm tình báo có trình độ cao thực hiện, được biết tới với những cái tên khác nhau như: Morpho, Butterfly và Wild Neutron. Nhóm tin tặc này đã lợi dụng lỗ hổng zero-day của Java để tấn công máy tính Mac của nhân viên Microsoft, từ đó xâm nhập vào hệ thống mạng của công ty.

Khi có trong tay CSDL về lỗi của Microsoft, nhóm tin tặc có thể đã tạo ra những công cụ lợi dụng các lỗ hổng zero-day để tấn công nhiều hệ thống trên toàn cầu. Mã độc tống tiền WannaCry là một ví dụ cho thấy việc lợi dụng lỗ hổng zero-day.

Khi Microsoft phát hiện CSDL theo dõi lỗi của họ bị lộ vào đầu năm 2013, một cảnh báo đã được gửi tới các bộ phận trong công ty. Lo ngại việc tin tặc có thể dùng các lỗ hổng đánh cắp được để thực hiện những cuộc tấn công mới, họ đã tiến hành một nghiên cứu để so sánh thời gian xảy ra các cuộc tấn công với thời điểm lỗi được nhập vào CSDL, cũng như lúc chúng được vá. Nhưng Microsoft đã không công nhận việc này. Họ cho rằng, tin tặc đã có thể lấy được thông tin từ các nguồn khác, mặc dù kết quả nghiên cứu cho thấy các lỗi bị đánh cắp đã được dùng trong các cuộc tấn công mạng, và “không có bằng chứng nào cho thấy thông tin bị đánh cắp của công ty đã được sử dụng trong các vụ tấn công đó".

Những nhân viên cũ của Microsoft còn xác nhận rằng, hãng đã siết chặt an ninh sau vụ tấn công năm 2013 và bổ sung nhiều lớp xác thực để bảo vệ hệ thống CSDL báo cáo lỗi của họ. Tuy nhiên, ba trong số các nhân viên này tin rằng, cuộc nghiên cứu do Microsoft thực hiện không loại trừ khả năng các lỗ hổng bị đánh cắp đang được dùng cho các cuộc tấn công mới, và Microsoft cũng không điều tra sâu về vụ việc này. Khi được liên hệ, Microsoft từ chối phát biểu về vụ việc.