Un timer di esposizione è una data e un'ora pubblicate su una pagina di estorsione o di leak che indicano quando i dati rubati verranno pubblicati. È una tattica di pressione, non una prova. Il timer serve a far percepire al bersaglio che la minaccia è reale e imminente, anche quando l'attaccante non ha mostrato prove di compromissione o furto di dati.
Nelle attacchi reali, i timer di esposizione vengono usati per aumentare la leva durante campagne ransomware e di doppia estorsione. Possono spingere le vittime a pagare e possono anche creare danni reputazionali, confusione e decisioni affrettate all'interno di un'organizzazione. Per i difensori, il timer è un segnale di avvertimento che dovrebbe attivare la verifica: confermare se c'è stato accesso, controllare la esfiltrazione dei dati, preservare i log e coordinare la risposta agli incidenti. Il punto chiave è separare la scadenza imposta dall'attaccante dai fatti confermati sull'intrusione.