Un'agenzia di negoziazione ransomware è un'azienda incaricata di gestire le comunicazioni con gli estorsori durante un incidente ransomware. Il suo compito non è quello di "risolvere" l'attacco da sola, ma di aiutare i team di risposta agli incidenti, legale ed esecutivo della vittima a comprendere le richieste di riscatto, scambiare messaggi in modo sicuro e valutare opzioni come guadagnare tempo, confermare l'entità della compromissione o cercare prove che i dati sottratti possano essere restituiti o eliminati.
Questo ruolo è importante perché i casi di ransomware sono sia tecnici sia negoziazioni ad alto rischio. Un'azienda può ridurre il caos mantenendo i messaggi documentati, limitando il contatto diretto con gli aggressori e coordinandosi con gli esperti forensi e i legali. Tuttavia, nel lavoro difensivo, queste aziende possono diventare parte della traccia probatoria: gli investigatori possono esaminare chi ha autorizzato il contatto, cosa è stato condiviso e se sono state fatte promesse. Una buona pratica consiste nel definire l'autorità, conservare i registri e la corrispondenza e trattare la negoziazione come una parte controllata della risposta all'incidente, anziché come un canale secondario informale.