Un file di recupero è una nota lasciata da un attaccante durante un evento di ransomware o estorsione. Di solito contiene istruzioni di contatto, richieste di pagamento o un messaggio che indica alla vittima come “recuperare” l'accesso a file o sistemi. In pratica, si tratta spesso della nota di riscatto dell'attaccante, collocata su desktop, cartelle condivise o directory crittografate in modo che sia facile da notare.
I file di recupero sono importanti perché rappresentano un segnale precoce di attività estorsiva e possono aiutare i difensori a identificare quali sistemi sono stati toccati. I team di sicurezza conservano questi file come prove, poiché il testo, i nomi dei file e i dettagli di contatto incorporati possono supportare l'attribuzione, l'analisi della minaccia e la risposta all'incidente. Aiutano anche a determinare se l'intrusione è reale, cosa sta chiedendo l'attaccante e se la stessa campagna ha colpito altre organizzazioni. Un file di recupero non è di per sé la prova di una compromissione completa, ma è un forte indicatore che la risposta e la verifica dovrebbero iniziare immediatamente.