Il ransomware basato sul furto è un modello di attacco in cui i criminali danno priorità al furto di dati prima di crittografare i sistemi, o persino al posto della crittografia. I file sottratti diventano una leva: gli aggressori minacciano di divulgare, vendere o pubblicare informazioni sensibili a meno che non venga effettuato un pagamento. Questo viene spesso chiamato doppia estorsione, perché la vittima subisce sia un'interruzione operativa sia una perdita di riservatezza.
Questo approccio è importante perché le organizzazioni moderne archiviano record di alto valore come dati dei clienti, documenti finanziari e corrispondenza interna. Anche se i backup ripristinano i sistemi, i dati esposti possono comunque causare frodi, problemi normativi e danni reputazionali. I difensori riducono questo rischio con un forte controllo degli accessi, segmentazione della rete, monitoraggio degli endpoint e del cloud, backup offline e prevenzione della perdita di dati. Il rilevamento rapido di creazione insolita di archivi, accesso massivo ai file o trasferimenti in uscita può aiutare a fermare il furto prima che inizi la pressione estorsiva.