I file predisposti sono dati che un attaccante ha raccolto, organizzato o compresso durante un'operazione di estorsione prima che vengano esfiltrati, pubblicati o usati come leva. Nei casi di ransomware, la predisposizione avviene di solito dopo l'accesso iniziale e prima della divulgazione finale, il che ne fa un forte indizio del fatto che l'intruso stia preparando materiale rubato per un uso successivo.
Questo è importante perché la predisposizione può rivelare l'intento anche quando la cifratura non è ancora iniziata o quando una rivendicazione pubblica non è verificata. I difensori cercano la creazione insolita di archivi, directory temporanee, copie massive di file e strumenti come utility di compressione o client di sincronizzazione cloud usati al di fuori dei normali schemi. Rilevare i file predisposti può aiutare i team di sicurezza a fermare presto il furto di dati, preservare le prove e capire se un incidente è limitato all'accesso o se è passato all'estorsione.