機構は5月8日に最初のウイルスメールを開封後、流出したデータを警視庁から28日に提示されるまで、流出した個人情報があるか調べていなかった。機構を監督する立場の厚労省も当初、担当係長が上司に事態を伝えず、塩崎厚労相に報告が上がったのは、問題発生から20日後と大きく出遅れた。

 厚労省が作成した資料などによると、5月8日に機構九州ブロック本部(福岡)の職員がメールを開封した後、政府の専門機関が不審な通信を検知。連絡を受けた厚労省が機構に伝え、機構は通信元のパソコン1台のケーブルを抜いて通信を遮断した。

 翌9日にウイルスが検出されたが、15日にセキュリティー会社から「情報を流出させるタイプではない」と報告を受けたことを理由に、機構は静観。その間も、機構職員の個人アドレスに約100通の不審なメールが届き、計27台のパソコンがウイルスに感染した。

 警視庁が、機構から流出したとみられる大量の個人情報のデータを見つけ、5月28日に機構に連絡。翌29日になって、機構はようやく全てのパソコンのネット接続を切り、流出した可能性のある個人情報の具体的な調査を始めた。