Un timer di leak è una scadenza annunciata nell'estorsione ransomware per fare pressione su una vittima prima che i dati presumibilmente rubati vengano pubblicati. Di solito viene mostrato su una pagina di divulgazione o su un sito di leak come conto alla rovescia, a volte chiamato “timer dei dati completi”. L'obiettivo è costringere a un pagamento rapido, a una negoziazione o a una risposta pubblica creando urgenza attorno a un'affermazione non verificata.
Nella pratica, un timer di leak conta perché può influenzare la risposta all'incidente anche quando i dettagli della violazione non sono ancora chiari. I difensori dovrebbero considerarlo un segnale di minaccia, non una prova del furto di dati. I team di sicurezza usano il timer per attivare passaggi di verifica: controllare eventuali prove di intrusione, confermare se i dati sensibili sono stati accessi e preparare le comunicazioni e la revisione legale. Gli aggressori lo usano come leva psicologica; i difensori lo usano come stimolo per verificare i fatti prima che il conto alla rovescia condizioni le decisioni.