Un dark leak site è una pagina pubblica, di solito ospitata sulla rete Tor o su un altro servizio di anonimizzazione, in cui gli aggressori pubblicano file rubati, dati di esempio o messaggi di estorsione. I gruppi ransomware usano questi siti per fare pressione sulle vittime: se il pagamento viene rifiutato, minacciano di esporre registri sensibili o di rilasciarli in più fasi. Il sito è spesso solo una parte di un'operazione di estorsione più ampia, insieme a canali di chat crittografati, richieste di pagamento e timer alla rovescia.
Per chi difende, un dark leak site è importante perché è sia una fonte di intelligence sia un segnale di allarme. I team di sicurezza possono monitorarlo per confermare la compromissione, identificare quali dati potrebbero essere stati rubati e valutare se un aggressore stia aumentando la pressione. Un sito inattivo o creato di recente non significa che la minaccia sia innocua; può indicare che un gruppo sta preparando l'infrastruttura, cambiando tattiche o ritardando l'esposizione pubblica. In pratica, questi siti aiutano gli analisti a monitorare il comportamento degli attori della minaccia, le rivendicazioni delle vittime e i possibili collegamenti tra diversi marchi ransomware.