Un elenco delle vittime è un post pubblico su un sito di leak di ransomware che nomina un presunto bersaglio. Fa parte del teatro dell’estorsione usato dai gruppi criminali per fare pressione sulle organizzazioni, attirare attenzione e creare paura prima che qualsiasi fatto tecnico venga verificato. Da solo, un elenco non prova una violazione, un furto di dati o la cifratura.
Questo è importante perché i difensori e il pubblico possono confondere un’accusa con una prova. Una vera intrusione può seguire un elenco, ma il post potrebbe anche essere un’affermazione non verificata, rumore di affiliati o un bluff. I team di sicurezza dovrebbero trattarlo come un indizio e convalidarlo con i log, gli avvisi degli endpoint, i record di autenticazione, l’attività di condivisione file, le note di riscatto e i controlli sull’integrità dei backup. In pratica, gli elenchi delle vittime aiutano gli aggressori a plasmare la narrazione; nella difesa, ricordano agli analisti di confermare i fatti prima di concludere che i sistemi siano stati compromessi.