联合调查团表示:“有人在9日向几百名韩水原员工发送了带有恶意编码的电子邮件,其中大部分电邮的发送方都是韩水原退休人员的电邮。”这意味着犯罪嫌疑人9日之前已经获得韩水原退休人员的电邮地址,最近公开的韩水原相关资料可能很久以前就已经获取。自称“反核电集团”的犯罪嫌疑人本月15日至23日先后5次公开了韩水原内部资料,但尚未阐明他们何时获取这些资料。
联合调查团的一位相关人士表示:“发电邮时使用的网络地址(IP)和在NAVER博客中公开资料时使用的网络地址都在中国沈阳。这两起行动所用网络地址的12个数字中只有最后一位不同,存在很多相似点。”
犯罪嫌疑人此前还威胁称,如果古里核电站1号和3号机组、月城核电站2号机组到25日晚12时还不停止运转,就进一步公开10万多张外泄资料,进行“第二次破坏”。但当天并未发生核电站停止运转的事态。