El incidente se originó por la acumulación de 'technical debt' en forma de reglas de mitigación de seguridad obsoletas. Estas reglas fueron implementadas rápidamente durante incidentes pasados para combatir patrones de abuso específicos. Sin embargo, con el tiempo, los patrones de tráfico legítimo evolucionaron, y las reglas, que combinaban técnicas de 'fingerprinting' con lógica de negocio, comenzaron a generar falsos positivos para usuarios legítimos no autenticados.
La causa raíz es una falla en el 'lifecycle management' de los sistemas de defensa. Las mitigaciones de emergencia no fueron tratadas como temporales ni se les aplicó un proceso de revisión post-incidente o monitoreo continuo de su impacto. Esto llevó a una 'configuration drift' donde las configuraciones de seguridad se desviaron de su propósito original, bloqueando tráfico válido en lugar de solo el abusivo.
Las salvaguardas fallaron porque la observabilidad de las capas de protección no era lo suficientemente granular o correlacionada. Trazar la causa de un bloqueo requería correlacionar logs de múltiples sistemas con esquemas diferentes, lo que dificultaba identificar rápidamente qué regla específica estaba causando el problema. La falta de un mecanismo claro para expirar o revisar mitigaciones temporales permitió que estas se convirtieran en permanentes y perjudiciales.