L'attribuzione di un attacco è il processo di collegare attività dannose a un attore, gruppo o infrastruttura specifici. I team di sicurezza lo fanno confrontando indicatori come il codice del malware, i server di comando e controllo, le tattiche, la selezione delle vittime, la lingua e il riutilizzo di strumenti o hash. L'attribuzione è importante perché aiuta i difensori a comprendere il movente, prevedere attività successive e coordinare la risposta agli incidenti, le forze dell'ordine o la condivisione di informazioni di intelligence.
L'attribuzione è raramente certa sulla base di un singolo indizio. Una nota di riscatto, un hash o il nome di una vittima rivendicata possono essere prove utili, ma possono anche essere incomplete, copiate o volutamente fuorvianti. Negli attacchi reali, i difensori trattano l'attribuzione come un'ipotesi che deve essere verificata rispetto a log, telemetria degli endpoint, traffico di rete e modelli storici. Una buona attribuzione separa i fatti tecnici confermati dalle affermazioni non verificate, il che è essenziale quando un post di estorsione nomina un bersaglio ma fornisce poche prove della compromissione.