Un campione di decrittazione è un file piccolo o parziale che un aggressore può offrire come prova di poter ripristinare i dati cifrati. Nei casi di ransomware ed estorsione, serve a mostrare un decrittatore funzionante o una reale capacità di invertire la cifratura, spesso prima di qualsiasi pagamento o negoziazione.
Per i difensori, un campione di decrittazione è importante perché può influenzare le decisioni di risposta, ma non è una prova di recupero sicuro. Un file parziale può decrittare solo un frammento di prova, un documento non critico o un file scelto per sembrare convincente. I team di sicurezza dovrebbero verificare qualsiasi campione in un ambiente controllato, confrontarlo con i backup e i dati noti come affidabili, ed evitare di presumere che l'aggressore disponga di un metodo di ripristino affidabile. Negli attacchi reali, questo termine compare nei post delle vittime, nei messaggi di negoziazione e nelle affermazioni di prova di decrittazione usate per fare pressione sui bersagli.