El ataque afectó tanto al almacenamiento de datos de producción como a varias capas de copias de seguridad. Las máquinas virtuales de una SAN de Dell fueron cifradas, mientras que los sistemas que contenían los datos de copia de seguridad presentaban distintos obstáculos para la recuperación.

Un servidor Dell PowerEdge con Veeam siguió siendo accesible, pero su volumen de copia de seguridad de 20 TB no se podía abrir de la forma habitual. La evaluación remota determinó que aproximadamente el 33 % del volumen había sido sobrescrito con ceros.

Un sistema TrueNAS de ocho unidades que contenía copias de seguridad mostraba un sistema de archivos vacío después de que se eliminó su contenido. Un Synology de 24 unidades había sido restablecido a los valores de fábrica. Otro Synology, independiente, conservaba archivos de copia de seguridad de Veeam, pero la falta de componentes esenciales impedía realizar las importaciones correctamente.

Dados estos sistemas distintos, el ayuntamiento contaba con varias fuentes de recuperación potenciales, pero no tenía una vía directa para restaurar sus datos críticos. Los ingenieros debían determinar qué quedaba en el almacenamiento de datos subyacente y qué fuentes podían ofrecer las copias de seguridad que el cliente necesitaba.