La negoziazione con gli operatori ransomware è il processo di gestione delle comunicazioni con gli aggressori dopo un episodio di estorsione. Può comportare la valutazione delle richieste, delle scadenze e delle affermazioni; la ricerca di prove che i dati sottratti esistano o possano essere ripristinati; e la decisione se e come rispondere. La negoziazione non garantisce il recupero dei dati né impedisce la loro pubblicazione, e il pagamento di un riscatto può comportare rischi legali, finanziari e operativi.
In genere, le organizzazioni coordinano queste attività coinvolgendo responsabili della risposta agli incidenti, consulenti legali, dirigenti e, se opportuno, negoziatori specializzati. Una chiara attribuzione delle responsabilità, comunicazioni documentate e una supervisione indipendente aiutano a prevenire confusione e conflitti di interesse. I negoziatori possono comunicare con gli aggressori, ma i difensori dovrebbero preservare separatamente le prove, contenere l'intrusione, indagare sulla violazione e adempiere agli obblighi di segnalazione applicabili. Considerate la negoziazione come una parte della risposta agli incidenti, non come un suo sostituto.