Witryna sklepu internetowego firmy stała się bezużyteczna krótko po północy 30 stycznia 2023 r. Kiedy analityk bezpieczeństwa przejrzał serwer bazy danych, zauważył następujący kod używany do tworzenia kopii zapasowych danych: Co analityk powinien zrobić w następnej kolejności?

Poprawna odpowiedź to sprawdzenie, czy nie ma ostatnio zwolnionych administratorów baz danych (DBA). Kod DROP DATABASE jest poleceniem SQL, które usuwa całą bazę danych. Takie działanie jest zazwyczaj celowe i wymaga uprawnień administratora bazy danych. Biorąc pod uwagę, że incydent miał miejsce krótko po północy, co często jest czasem, kiedy zwolnienia pracowników stają się aktywne, oraz fakt, że jest to złośliwe działanie wewnętrzne, pierwszym krokiem powinno być zbadanie, czy niedawno zwolnieni pracownicy mieli dostęp do systemu. Przegląd logów WAF pod kątem wstrzykiwania poleceń jest mniej prawdopodobny, ponieważ DROP DATABASE wymaga wysokich uprawnień i zazwyczaj nie jest możliwe do wykonania poprzez typowe wstrzykiwanie SQL. Skanowanie w poszukiwaniu złośliwego oprogramowania lub notatek ransomware jest również mniej prawdopodobne, ponieważ problemem jest celowe usunięcie bazy danych, a nie infekcja.