Una vittima di ransomware è un'organizzazione nominata in relazione a un evento di estorsione o di fuga di dati. L'etichetta può provenire da una pubblicazione pubblica di un attore malevolo, da un sito di leak o da un rapporto di sicurezza. Da sola, non prova che i sistemi siano stati crittografati, che i file siano stati sottratti o che le operazioni siano state interrotte.
Questo termine è importante perché gli elenchi delle vittime sono spesso un segnale precoce per difensori, giornalisti e analisti. Un post può indicare pressione sul bersaglio, un'affermazione di compromissione o un tentativo di forzare una negoziazione, ma richiede comunque una verifica. I team di sicurezza usano queste affermazioni per cercare segnali di intrusione, esaminare le credenziali esposte, verificare la preparazione di backup e ripristino e delimitare una possibile esposizione dei dati. In pratica, la differenza tra una vittima nominata e un incidente confermato è fondamentale: la prima è un'accusa o una divulgazione, mentre il secondo è un impatto tecnico verificato.