La negoziazione è la fase di trattativa in un caso di estorsione o ransomware, in cui aggressori e vittime si scambiano richieste, scadenze e condizioni. L'aggressore può insistere sul pagamento, minacciare la pubblicazione o offrire prove di accesso; la vittima può cercare più tempo, richieste più basse o limiti alla divulgazione. Questa fase può avvenire tramite email, portali di chat, messaggi su siti di fuga di notizie o intermediari.
Nel campo della sicurezza informatica, la negoziazione è importante perché può influire sul rischio operativo prima che qualsiasi dato venga pubblicato. I team di sicurezza la usano per valutare se una rivendicazione è credibile, preservare le prove e coordinare le decisioni legali, di risposta agli incidenti e dei dirigenti. Offre inoltre ai difensori la possibilità di verificare quali dati sono stati rubati, isolare i sistemi compromessi e prepararsi alla divulgazione pubblica senza aggravare la situazione. Risposte imprudenti possono esporre la strategia o confermare il valore, quindi le risposte devono essere controllate e ben documentate.