Un feed di ransomware è un elenco che tiene traccia delle vittime rivendicate, dei post di leak, delle date di pubblicazione e dello stato delle richieste di estorsione. Può essere gestito da un gruppo ransomware, da un sito di leak o da un servizio di monitoraggio che raccoglie tali rivendicazioni. Le voci spesso includono etichette come “pagato”, “esposto” o indicatori di conto alla rovescia pensati per aumentare la pressione sul bersaglio.
Per i difensori, il feed è importante perché può rivelare che un'organizzazione è stata nominata prima che la compromissione sia completamente verificata. Questo lo rende utile per il triage, la risposta agli incidenti e la threat intelligence. Tuttavia, le voci del feed non sono una prova dell'intera violazione: gli aggressori possono esagerare, riutilizzare dati vecchi o pubblicare affermazioni false. I team di sicurezza usano questi elenchi per convalidare le segnalazioni, controllare i nomi dei file esposti e preparare misure di contenimento, comunicazione e legali.