Un negoziatore ransomware è la persona che gestisce le comunicazioni estorsive tra gli aggressori e una vittima. Può trasmettere le richieste di riscatto, fissare le scadenze, interpretare le minacce e cercare di influenzare il pagamento, spesso agendo come interfaccia umana per un gruppo criminale. In alcuni casi, il negoziatore fa parte della stessa rete degli operatori; in altri, può specializzarsi nel facilitare il contatto e la pressione.
Questo ruolo è importante perché il ransomware non è solo un problema di malware. Gli aggressori usano i negoziatori per controllare la paura, spingere sulle scadenze e minacciare la divulgazione dei dati o l'esposizione pubblica. Per i difensori, il contatto dopo una violazione deve essere trattato come parte dell'incidente: conservare i messaggi, coinvolgere i team legali e di risposta agli incidenti, ed evitare risposte ad hoc che potrebbero aumentare il potere di leva dell'aggressore. L'attività di un negoziatore può anche aiutare gli analisti a comprendere la catena estorsiva, ma l'attribuzione deve essere trattata con cautela finché non è supportata da prove.