O „zmasowanym ataku na urządzenia mobilne” Marian Banaś i jego współpracownicy poinformowali 7 lutego na specjalnej konferencji. Wskazywali, że w NIK zainfekowanych zostało 535 urządzeń (od marca 2020 do stycznia tego roku), w tym telefony, laptopy, serwery. Możliwych ataków miało być 7,3 tys. Prezes Banaś medialnie nagłośnił „ataki hakerskie”, ale nie zgłosił ich właściwym służbom, czego wymaga prawo. Są tego konsekwencje.
– Zgodnie z ustawą o krajowym systemie cyberbezpieczeństwa Najwyższa Izba Kontroli ma obowiązek zawiadomić zespół CSiRT GOV o zidentyfikowanych incydentach bezpieczeństwa teleinformatycznego nie później niż 24 godziny od zidentyfikowania takiego incydentu – mówi „Rzeczpospolitej” Stanisław Żaryn, rzecznik ministra koordynatora służb specjalnych. I dodaje, że w związku tym, że NIK „nie dopełnił ciążącego na nim obowiązku i nie przekazał stosownego zgłoszenia do CSiRT GOV, szef ABW skierował do prokuratury zawiadomienie o możliwości popełnienia przestępstwa”.