この事例はかなり典型的な遅延型ランサム攻撃です。
1) セキュリティソフト無効化
侵入後に管理者権限を奪われると、管理コンソール側から正規操作として停止されます。
「止まったことを検知する仕組み(監視の監視)」が無いと気づけません。
2)侵入から4か月後に起動
内部調査・バックアップ世代の上書き・業務把握が目的です。
家庭用AVや通常スキャンでは検知はほぼ不可能です。
3)身代金拒否
方針としては正しいですが、情報流出自体は既に防げません。
結果として企業は説明責任、個人は二次被害リスクを負います。
結論として、
技術より運用・監視・委託先管理の問題が大きい事例です。