Un elenco di vittime e una scadenza del 15 giugno hanno trasformato una singola affermazione di dati non verificata in una prova dal vivo della risposta a una violazione, del rischio identitario e della pressione su una società quotata.