Un portale di leak basato su Tor è un sito web in servizio nascosto ospitato sulla rete Tor e usato per pubblicare file rubati, note di estorsione o messaggi di pressione. Poiché Tor nasconde la posizione del server e il percorso del traffico, l'operatore può gestire il sito con un anonimato maggiore rispetto al web in chiaro.
Nelle campagne di ransomware e furto di dati, questi portali fanno parte del modello di coercizione: gli aggressori minacciano di esporre i dati se le richieste non vengono soddisfatte. Per i difensori, il portale può fornire segnali utili, come elenchi di vittime, campioni di file, dettagli di contatto e cambiamenti nel comportamento dell'operatore. Un portale inattivo non significa che la minaccia sia scomparsa; può riflettere ritardi di configurazione, infrastruttura in evoluzione o una pausa prima della ripresa della pressione pubblica. Il monitoraggio di questi siti aiuta gli analisti a seguire l'attribuzione, individuare infrastrutture riutilizzate e capire come un gruppo criminale comunica con le vittime.