Włamanie rozpoczęło się od danych dostępowych skradzionych firmie zewnętrznej, która obsługiwała systemy klimatyzacji w sklepach. Przestępcy dotarli do systemów kasowych i przez kilka tygodni przechwytywali dane kart w sklepach sieci.

Systemy bezpieczeństwa wykrywały podejrzaną aktywność, ale sygnały nie zostały wystarczająco szybko potraktowane jako poważne. Koszty obejmowały odszkodowania, ugody, wymianę kart i utratę zaufania klientów w szczycie sezonu świątecznego.

W sieciach każdy punkt, dostawca i integracja to potencjalne wejście do systemu. Dostęp podwykonawców powinien być ograniczony do minimum, a alerty bezpieczeństwa muszą mieć właściciela, który na nie reaguje.