La fase di estorsione è la fase di pressione di una campagna di ransomware o di furto di dati, in cui gli aggressori cercano di forzare una risposta da parte della vittima. Invece di concentrarsi sulla furtività o sull'accesso iniziale, l'obiettivo è creare urgenza tramite elenchi pubblici delle vittime, minacce di divulgare i dati o richieste di pagamento. La "pressione" può essere rivolta a dirigenti, team legali, assicuratori o addetti alla risposta agli incidenti.
Questa fase è importante perché la rivendicazione pubblica non è una prova dell'intera intrusione. Un elenco o un post su un sito di divulgazione può avere lo scopo di influenzare la percezione prima che i difensori completino il triage e la verifica. Negli incidenti reali, i team dovrebbero trattare le rivendicazioni di estorsione come indicatori, quindi controllare i log, l'attività degli accessi privilegiati, l'integrità dei backup, i percorsi di accesso remoto e i segni di spostamento dei dati. Difese efficaci includono la rapida conservazione delle prove, un contenimento rigoroso, comunicazioni chiare e la convalida prima di rispondere alle richieste degli aggressori.