I decryptor falsi sono strumenti che affermano di recuperare i file crittografati dal ransomware, ma possono essere fraudolenti, incompleti o tecnicamente incapaci di ripristinare i dati. In alcuni casi, sono semplici interfacce che mostrano un avanzamento mentre fanno ben poco o nulla; in altri, vengono usati per estorcere altro denaro a una vittima fingendo che il recupero sia in corso.
Sono importanti perché il recupero da ransomware è spesso urgente e stressante. Gli aggressori o intermediari disonesti possono sfruttare questa pressione offrendo un decryptor, un servizio di verifica o un'utilità di pulizia che sembra legittima. Un decryptor falso può ritardare la risposta all'incidente, aumentare i costi e dare un falso senso di fiducia nel fatto che i sistemi stiano venendo ripristinati. I difensori dovrebbero verificare il fornitore, testare qualsiasi strumento di recupero su copie isolate, conservare le prove prima di apportare modifiche e preferire backup affidabili e responsabili della risposta agli incidenti fidati rispetto ad affermazioni non verificate.