Un timer di estorsione è una scadenza annunciata in una campagna ransomware o di estorsione dei dati per aumentare la pressione sul bersaglio. Può essere mostrato in una pagina per la vittima, in un messaggio di chat o in un'email minacciosa, spesso accompagnato da affermazioni secondo cui i dati rubati verranno pubblicati, venduti o eliminati quando il timer scade. Lo scopo è tanto psicologico quanto tecnico: spinge i difensori a reagire rapidamente, a volte prima di aver verificato completamente cosa sia accaduto.
In pratica, un timer di estorsione può influenzare la risposta all'incidente imponendo una rapida analisi iniziale, una revisione legale e la pianificazione delle comunicazioni. I difensori dovrebbero considerarlo una tattica di pressione, non una prova di compromissione. La risposta corretta è convalidare l'affermazione, preservare le prove, valutare se l'esposizione dei dati sia reale ed evitare di prendere decisioni basate solo sul conto alla rovescia. Gli aggressori usano questi timer per intensificare la paura; i difensori usano la verifica per mantenere l'incidente ancorato ai fatti.