La re-estorsione è un secondo tentativo di pressione rivolto alle vittime di ransomware dopo l'intrusione iniziale. Invece di fare affidamento solo sulla richiesta di riscatto originale, un attaccante, un complice o un finto servizio di recupero può contattare nuovamente la vittima e usare promesse di recupero dei file, decrittazione o cancellazione dei dati per creare nuova leva. Il messaggio spesso sembra utile, ma il vero obiettivo è mantenere la vittima sotto pressione e spingerla a pagare o a divulgare informazioni.
È importante perché la re-estorsione sfrutta il periodo in cui i difensori sono più vulnerabili: i sistemi possono essere cifrati, i backup incerti e i dirigenti sotto pressione temporale. Negli attacchi reali, può presentarsi come una chiamata dell'“help desk”, un'offerta di recupero o un'affermazione secondo cui i dati rubati possono essere cancellati. I difensori dovrebbero verificare ogni contatto esterno, preservare le prove, evitare di condividere i dettagli dell'incidente e indirizzare tutta la negoziazione tramite i team di risposta agli incidenti e legali. Trattare le richieste di recupero inaspettate come un segnale di rischio, non come prova di assistenza.