La fase di crittografia è il momento di un'operazione ransomware in cui lo strumento dell'attaccante inizia a bloccare file o sistemi, di solito crittografando i dati in modo che l'accesso normale venga perso. Questo è il momento più visibile dell'estorsione perché trasforma un'intrusione nascosta in un'interruzione evidente dell'attività, spesso accompagnata da una nota di riscatto o da una richiesta di recupero.
È importante nella sicurezza informatica perché spesso è l'ultimo passo, non il primo. Quando inizia la crittografia, gli attaccanti potrebbero aver già rubato credenziali, essersi mossi attraverso la rete o aver disabilitato le difese. Per i difensori, la fase di crittografia è un segnale di un incidente attivo, ma i segnali di allarme migliori arrivano prima: accessi anomali, escalation dei privilegi, movimento laterale e attività sospette sui file. Il monitoraggio e la risposta dovrebbero concentrarsi su questi indicatori pre-crittografia, così i team possono fermare l'attacco prima che i file vengano bloccati.