Un sospetto di ransomware è una persona collegata per accusa, intelligence o indagine ad attività di ransomware, ma non ancora dichiarata colpevole. L'etichetta può comparire in mandati di arresto, richieste di estradizione, rapporti sulle minacce o briefing delle forze dell'ordine quando gli investigatori ritengono che una persona possa aver sviluppato malware, negoziato pagamenti di riscatto, gestito l'infrastruttura o contribuito a riciclare i proventi.
Questo termine è importante perché l'attribuzione del ransomware è spesso incerta. I criminali usano alias, dispositivi condivisi, server proxy e account riutilizzati, quindi i nomi da soli possono essere fuorvianti. Difensori e investigatori dovrebbero trattare un sospetto come un'ipotesi, non come una conferma, e corroborare l'identità con più segnali, come log, wallet, registrazioni di domini, riuso del codice e artefatti dei dispositivi. Sia negli attacchi sia nelle difese, un uso attento di questa etichetta aiuta a evitare arresti errati, attribuzioni false e decisioni di risposta sbagliate.