L'ambito della compromissione è l'effettiva estensione di un incidente: quali sistemi, account, endpoint, risorse cloud o dati sono stati effettivamente colpiti. È più ampio di un titolo o di un elenco di vittime, perché una rivendicazione pubblica può descrivere un tentativo di attacco, una fuga di dati o un messaggio coercitivo senza dimostrare cosa sia stato davvero accesso o cifrato.
Nella sicurezza informatica, l'ambito conta perché determina le priorità di risposta, le misure di contenimento, le segnalazioni legali e l'impegno per il ripristino. I difensori usano registri, telemetria degli endpoint, eventi di identità, backup e prove di perdita di dati per separare le voci dall'impatto confermato. Nei casi di ransomware, il nome di una vittima pubblicato non stabilisce da solo l'ambito della compromissione; i team devono comunque verificare se i dati sono stati esfiltrati, se i servizi sono stati interrotti o se l'attaccante ha avuto solo un accesso limitato. Una chiara valutazione dell'ambito evita reazioni eccessive, ma aiuta anche a non trascurare una violazione reale.