Natt til 12. januar oppdaget en ansatt hos sikkerhetsselskapet Emp Secure i Haugesund det som så ut som mistenkelig aktivitet hos den norske dør- og vindusleverandøren Nordan klokken halv to på natten: En av administrator-kontoene til selskapet, med betydelige rettigheter over it-infrastrukturen, var i ferd med å utføre underlig, mistenkelig aktivitet på serverne.