Hoewel Cl0p het publieke gezicht is van deze afpersingscampagne, vermoedt de cybersecuritygemeenschap dat meerdere dreigingsactoren betrokken zijn, met name de groep FIN11. Op de Cl0p-lekwebsite staan meer dan honderd vermeende slachtoffers uit diverse sectoren, waaronder technologie, software, zware industrie, productie, engineering, retail, energie, media, financiën en entertainment. Voor de meeste slachtoffers publiceerden de cybercriminelen torrentbestanden met informatie die zogenaamd van hun systemen is gestolen, wat erop wijst dat deze organisaties geen losgeld hebben betaald.

De meeste grote organisaties die werden getroffen, hebben publiekelijk bevestigd dat er een datalek heeft plaatsgevonden. Velen gaven aan dat de impact beperkt is, maar informeerden toch betrokkenen over mogelijke risico’s. Een klein aantal zeer grote bedrijven heeft echter geen enkele publieke verklaring afgegeven, noch om het incident te bevestigen, noch om het te ontkennen, of om aan te geven dat er een onderzoek loopt. Dit betreft onder andere Broadcom, Bechtel, Estée Lauder Companies en Abbott Laboratories, die allen rond 20 november 2025 op de Cl0p-website werden genoemd. Onderzoeken naar datalekken kunnen maanden tot een jaar duren, maar grote bedrijven melden doorgaans ten minste dat er een onderzoek plaatsvindt. Deze vier bedrijven hebben niet gereageerd op herhaalde verzoeken om commentaar.

SecurityWeek heeft geen van de gelekte data gedownload, maar voerde een korte analyse uit van metadata en bestandsstructuren van data die zogenaamd afkomstig zijn uit Oracle EBS-omgevingen van enkele grote bedrijven. Zo publiceerden de cybercriminelen meer dan 2 terabyte aan archieven van Broadcom en 870 gigabyte aan archieven van Estée Lauder. De torrents met bestanden van Bechtel en Abbott zijn nog beschikbaar, maar er kon geen data worden geanalyseerd. Dit sluit niet uit dat de bestanden nog circuleren binnen ondergrondse cybercriminelenfora.

Cybercriminelen zoals Cl0p overdrijven vaak de omvang van hun aanvallen, waardoor veel bedrijven snel verklaringen uitbrengen om de impact te ontkennen of te minimaliseren. Daarnaast bestaat er geen wettelijke verplichting om een incident openbaar te maken als er geen gereguleerde data zoals gezondheidsgegevens, burgerservicenummers of betaalgegevens zijn gelekt. Ook is er geen meldplicht aan investeerders als het lek niet materieel is volgens SEC-regels. Sommige organisaties kiezen er bovendien bewust voor om te zwijgen vanwege strategische, PR- of juridische redenen, omdat het erkennen van een onderzoek kan leiden tot rechtszaken, druk van short-sellers of extra toezicht.