Un'operazione ransomware è una campagna criminale coordinata che usa malware per bloccare i sistemi o rubare dati, quindi richiede un pagamento per il recupero o per mantenere il silenzio. Di solito è più di un singolo malware: gli operatori possono acquistare accessi, distribuire payload, gestire siti di dati trapelati e coordinare affiliati, negoziatori e canali di riciclaggio.
Questo è importante perché il danno è sia tecnico sia legato al business. Un'operazione riuscita può fermare la produzione, interrompere i servizi ed esporre dati sensibili, creando anche problemi legali e forensi a lungo termine. Negli attacchi reali, i difensori possono osservare phishing, credenziali rubate, strumenti di accesso remoto, movimento laterale, cifratura e messaggi di estorsione. Buone difese includono segmentazione di rete, backup offline, MFA, patching, rilevamento sugli endpoint e log dettagliati. Questi registri aiutano i responsabili della risposta a contenere l'attacco, ripristinare i sistemi e dimostrare cosa è accaduto se in seguito gli investigatori esaminano il caso.