«Dati distrutti» è uno stato riportato o un’affermazione secondo cui i dati sono stati eliminati, cancellati o resi altrimenti indisponibili. Questa etichetta, da sola, non dimostra che la distruzione sia avvenuta, non identifica quali dati siano stati interessati e non indica chi l’abbia causata. In un annuncio di estorsione, il significato può essere poco chiaro, a meno che chi lo pubblica non spieghi lo stato e fornisca prove a sostegno.
I difensori dovrebbero considerare l’affermazione un motivo per indagare, non un esito confermato. Verificate i log di sistema e di accesso, gli eventi di eliminazione, i supporti di archiviazione interessati e l’integrità dei backup; conservate le prove pertinenti e valutate se sia possibile ripristinare i dati. Per stabilire portata e impatto servono indicatori verificati. Questa distinzione è importante perché agire sulla base di un’affermazione pubblica non verificata può portare a segnalazioni inesatte dell’incidente o a interventi di risposta mal indirizzati.