Un operatore ransomware è un attore criminale che usa l'intrusione per estorcere denaro e interrompere le attività aziendali. A differenza degli utenti opportunisti di malware, gli operatori spesso eseguono un'intera catena di attacco: accesso iniziale, escalation dei privilegi, movimento laterale, furto di dati e poi crittografia o estorsione.
Nella sicurezza informatica, il termine è importante perché il ransomware è di solito una campagna coordinata, non un singolo strumento. Gli operatori possono acquistare accessi, sfruttare debolezze dell'autenticazione o abusare di sistemi di accesso remoto per entrare in una rete e mimetizzarsi nel traffico normale. I difensori cercano segnali come modelli di accesso insoliti, sessioni VPN non autorizzate, modifiche anomale dei file e manomissione dei backup. Fermare un operatore richiede autenticazione forte, privilegi minimi, monitoraggio degli accessi interni e una risposta rapida agli incidenti prima che inizi l'estorsione.