Un sito di leak su Tor è una pagina di servizio nascosto ospitata sulla rete Tor e utilizzata da gruppi di estorsione per pubblicare file rubati, fare pressione sulle vittime o pubblicare richieste di riscatto. Poiché è raggiungibile tramite indirizzi .onion e non tramite la normale ricerca web, offre agli aggressori un certo grado di anonimato e rende più difficili le attività di rimozione.
Nelle operazioni ransomware, un sito di leak fa parte della strategia di coercizione: se la vittima non paga, il gruppo minaccia di esporre lì i dati. Per i difensori, il sito è anche una fonte di intelligence. Cambiamenti nei nomi, nei modelli di indirizzo, nello stile dei post e nei tempi possono rivelare sovrapposizioni infrastrutturali, ma non dimostrano da soli un controllo comune o strumenti condivisi. I team di sicurezza usano queste pagine per monitorare le divulgazioni, verificare le affermazioni, preservare le prove e tracciare i cluster di minaccia, mantenendo separata l'attribuzione dalle osservazioni iniziali.