Il ciclo di estorsione è la fase di pressione di una campagna ransomware o di estorsione di dati. Dopo che un'organizzazione viene nominata o minacciata, gli aggressori usano rivendicazioni pubbliche, conto alla rovescia, leak di campioni e richieste di contatto per forzare una risposta. L'obiettivo non è solo il pagamento, ma anche l'urgenza: far reagire i difensori prima che possano verificare completamente cosa è accaduto.
Questo è importante perché il ciclo può influenzare le decisioni tanto quanto l'intrusione stessa. Un elenco di vittime può comparire prima che la compromissione sia confermata, creando pressione reputazionale e operativa. I difensori dovrebbero verificare le prove, controllare i sistemi esposti e i percorsi di accesso, preservare i log e coordinare i team legali e di comunicazione prima di rispondere. Negli attacchi reali, il ciclo di estorsione spesso include aggiornamenti ripetuti sulle pubblicazioni, reset delle scadenze e minacce di divulgare i dati finché il bersaglio non negozia o non dimostra che le accuse sono false.