La atribución de ciberataques es el proceso de determinar quién está detrás de un ciberataque —un grupo, una persona o un Estado— a partir de evidencias técnicas, inteligencia y contexto.
Cómo funciona la atribución
Los analistas combinan varias capas de evidencia:
- Técnica: similitudes en el código del malware, infraestructura reutilizada, indicadores de compromiso, marcas de tiempo de compilación, configuración de idioma y errores de programación.
- De comportamiento: tácticas, técnicas y procedimientos mapeados en MITRE ATT&CK, horarios de trabajo y elección de objetivos.
- Estratégica: a quién beneficia el ataque, el contexto geopolítico y la inteligencia de fuentes humanas o de señales de la que disponen los gobiernos.
Cada fabricante da sus propios nombres a los grupos, por lo que un actor puede tener varias etiquetas: APT28, por ejemplo, también se conoce como Fancy Bear. Modelos como el Diamond Model of Intrusion Analysis ayudan a estructurar la evidencia.
Por qué es importante
Conocer al adversario ayuda a prever sus siguientes pasos y a priorizar la inteligencia de amenazas. Para los gobiernos, la atribución permite acusaciones, sanciones y respuestas diplomáticas: EE. UU. culpó públicamente a Corea del Norte del ataque a Sony Pictures de 2014 y, en 2018, EE. UU., Reino Unido y sus aliados atribuyeron NotPetya al ejército ruso.
La atribución también es difícil y a veces se manipula deliberadamente. Los atacantes usan banderas falsas: el malware Olympic Destroyer, que afectó a los Juegos Olímpicos de Invierno de 2018, contenía pistas que apuntaban al grupo norcoreano Lazarus, pero después se atribuyó a la unidad del GRU ruso conocida como Sandworm. Las herramientas compartidas, el malware filtrado y los contratistas complican aún más el panorama, así que los analistas expresan la atribución con niveles de confianza.
Buenas prácticas
- Priorizar detener el ataque; la atribución puede esperar.
- Conservar registros y pruebas forenses para analistas y fuerzas del orden.
- Desconfiar de indicadores aislados y buscar fuentes independientes.
- Seguir los perfiles de grupos APT relevantes para su sector.
