Un sito di pubblicazione ransomware è una pagina pubblica di leak, un elenco di vittime o un portale di estorsione usato dagli attori della minaccia per nominare le organizzazioni che affermano di aver compromesso. Questi siti possono mostrare nomi di aziende, file di esempio, timer alla rovescia o richieste di negoziazione. L'obiettivo è fare pressione: rendendo pubblica un'accusa, gli aggressori cercano di forzare il pagamento, mettere in imbarazzo il bersaglio e attirare l'attenzione di clienti, partner e media.
Per i difensori, un sito di pubblicazione è un'informazione utile ma non una prova del pieno incidente. Una vittima elencata può indicare un'intrusione, un furto di dati o solo un'affermazione non verificata. I team di sicurezza dovrebbero trattare il post come un segnale per indagare su log, accessi privilegiati, alert degli endpoint e segnali di esfiltrazione dei dati, evitando conclusioni premature. In pratica, queste pagine compaiono nelle campagne di doppia estorsione, in cui l'aggressore minaccia di pubblicare i dati rubati se la vittima non si conforma. Il sito fa parte dell'infrastruttura di estorsione, non è di per sé una prova della portata dell'incidente.