Una finestra di negoziazione è il breve periodo che una banda di estorsione concede a una vittima per mettersi in contatto prima che gli aggressori pubblichino i dati rubati o intensifichino la pressione. Nel ransomware e nell'estorsione basata su leak site, questa finestra è spesso presentata come una scadenza, ma in realtà è una tattica di coercizione: gli aggressori vogliono costringere a prendere decisioni rapide mentre i difensori stanno ancora confermando cosa sia accaduto.
Questo è importante perché il conto alla rovescia può creare stress operativo e legale anche quando la portata della compromissione non è chiara. I difensori dovrebbero trattare i messaggi degli aggressori come leva, non come prova, conservare log ed evidenze e coordinare i team di risposta all'incidente, legali e di comunicazione attorno a fatti verificati. Negli attacchi reali, la finestra di negoziazione viene usata per spingere pagamenti, concessioni o dichiarazioni pubbliche prima che l'organizzazione abbia terminato la valutazione del rischio.