Un post della vittima di ransomware è un elenco pubblico pubblicato da un gruppo estorsivo per nominare un'organizzazione presa di mira e fare pressione su di essa affinché paghi. Il post può affermare compromissione, furto di dati o interruzione del servizio, ma l'elenco in sé non prova che tali affermazioni siano vere. In molti casi, fa parte della tattica negoziale degli aggressori: creare paura, attirare attenzione e aumentare il costo del ritardo.
Per i difensori, il post è importante perché è un segnale di allerta precoce che dovrebbe attivare una verifica. I team di sicurezza dovrebbero controllare i registri, l'attività di accesso remoto, gli avvisi degli endpoint, i backup e gli indicatori di perdita di dati per confermare se sia davvero avvenuta un'intrusione. Negli attacchi reali, i post delle vittime spesso compaiono insieme a timer alla rovescia, esempi di file trapelati o minacce di pubblicare i dati rubati. In difesa, aiutano gli addetti alla risposta agli incidenti a dare priorità alla validazione e alla comunicazione senza presumere l'intera portata prima che le prove vengano esaminate.