Una pubblicazione basata solo su affermazioni è una dichiarazione di minaccia che non è stata verificata indipendentemente. Nei forum di ransomware ed estorsione, gli aggressori possono nominare una vittima, pubblicare un hash o descrivere un danno senza mostrare prove di accesso, crittografia, furto di dati o interruzione del servizio. Il post può sembrare credibile, ma spesso le prove sono troppo deboli per confermare che un incidente sia effettivamente avvenuto.
Questo è importante perché i difensori usano questi post per la triage, non per trarre conclusioni. Una pubblicazione basata solo su affermazioni può segnalare un possibile compromesso, una falsa rivendicazione o un tentativo di fare pressione su un bersaglio. Gli analisti dovrebbero confrontare la dichiarazione con i log, gli avvisi degli endpoint, gli indicatori di perdita di dati e la convalida dal lato della vittima prima di trattarla come confermata. In pratica, la presenza di un hash o di un'etichetta aiuta a tracciare e raggruppare l'intelligence, ma non prova da sola l'impatto.