L'attribuzione dell'attaccante è il processo di collegare un'attività malevola a un attore di minaccia, a un gruppo o a un gruppo sponsorizzato da uno Stato specifico. Nella sicurezza informatica, l'attribuzione aiuta i difensori a capire il movente, gli strumenti probabilmente utilizzati e il tipo di attività successive che dovrebbero aspettarsi. Aiuta anche con la prioritizzazione, la segnalazione e la condivisione di informazioni sulle minacce tra team e partner.
L'attribuzione deve essere trattata come un'ipotesi, non come una conclusione. Una nota di riscatto, un elenco di vittime in un post di divulgazione dei dati, lo stile del malware o la sovrapposizione dell'infrastruttura possono suggerire un gruppo noto, ma ciascun segnale può essere copiato, simulato o fuorviante. Le indagini reali si basano su più fonti di evidenza, come log, hash dei file, modelli di comando e controllo, percorsi di accesso e telemetria lato vittima. Per i difensori, il valore pratico consiste nel rispondere a indicatori verificati evitando affermazioni pubbliche premature. In casi come i post di divulgazione dei dati legati al ransomware, l'attribuzione può fornire un contesto utile, ma da sola non prova una violazione, un furto di dati o gli esatti aggressori coinvolti.