Una catena di estorsione è la sequenza di passaggi che i criminali usano per fare pressione su una vittima dopo aver ottenuto una leva. Di solito inizia con un contatto e una minaccia, poi aggiunge prove di accesso, scadenze e richieste sempre più pressanti. I punti di pressione comuni includono dati rubati, minacce di pubblicazione, molestie, impersonificazione o attacchi denial-of-service. Nei casi di ransomware, persone diverse possono occuparsi dell'intrusione, della negoziazione e della riscossione del pagamento, trasformando la catena in un processo aziendale coordinato piuttosto che in un singolo messaggio.
Questo è importante perché i difensori devono spezzare l'intera catena, non solo rimuovere il malware. Anche se la cifratura viene contenuta, gli aggressori possono continuare con email, messaggi in chat, telefonate o post su siti di divulgazione. Il monitoraggio dell'esfiltrazione dei dati, dei contatti in uscita sospetti e delle intimidazioni ripetute può rivelare presto la fase di estorsione. Una risposta agli incidenti efficace include anche il coordinamento legale, comunicativo e con le forze dell'ordine, così che l'obiettivo possa documentare le minacce, ridurre la leva degli aggressori e rispondere in modo coerente.