Un'esposizione in sospeso è un momento futuro dichiarato per il rilascio di dati rubati o presuntamente rubati. Nei casi di ransomware ed estorsione, gli aggressori lo usano come una scadenza pubblica per fare pressione su vittime, investitori, clienti e addetti alla risposta agli incidenti prima che i fatti siano verificati completamente. La promessa di pubblicazione può essere reale, ritardata o mai mantenuta, ma il conto alla rovescia stesso fa parte della coercizione.
Per i difensori, un avviso di esposizione in sospeso è importante perché cambia il ritmo di un incidente. I team potrebbero dover confermare se i dati siano stati effettivamente accessibili, conservare le prove, avvisare il personale legale e di conformità e preparare le comunicazioni evitando assunzioni basate solo sul timer. Negli attacchi reali, queste scadenze vengono usate nelle pagine delle vittime, nei siti di leak e nei messaggi in chat per amplificare il danno reputazionale e forzare decisioni più rapide. Un'esposizione in sospeso dovrebbe essere trattata come un segnale di intelligence, non come prova di compromissione.