Un operatore è la persona che coordina una campagna criminale, soprattutto nei ransomware e in altri schemi di estorsione informatica. L'operatore può gestire l'infrastruttura, scegliere i bersagli, distribuire o noleggiare il malware, gestire i dati rubati e controllare il processo di negoziazione o pagamento. In pratica, l'operatore è l'organizzatore dietro l'attacco, anche se altre persone hanno scritto il codice o hanno svolto singoli compiti.
Questo ruolo è importante perché il cybercrime è di solito un'operazione commerciale, non un singolo evento tecnico. I difensori e gli investigatori cercano gli operatori per interrompere i canali di comando, i flussi di pagamento, il coordinamento degli affiliati e le campagne ripetute. Un operatore può essere identificato tramite i log, il tracciamento dei wallet, i sequestri dei server, le registrazioni delle chat o gli errori nella gestione dell'infrastruttura. Fermare l'operatore può ridurre la capacità del gruppo di riorganizzarsi, estorcere denaro alle vittime e riutilizzare lo stesso schema d'azione.