Un livello di coordinamento è un marchio, un canale o una struttura organizzativa condivisi, usati per collegare o amplificare le attività di gruppi altrimenti distinti. Negli ecosistemi del crimine informatico, può aiutare i partecipanti a comunicare, promuovere operazioni o presentare attività correlate sotto un unico nome. La sua esistenza, di per sé, non dimostra un’appartenenza comune o un controllo centralizzato.
Questa distinzione è importante per l’intelligence sulle minacce e la difesa: considerare un marchio condiviso come un unico gruppo di intrusione può nascondere differenze nelle tattiche, nei metodi di accesso e nei comportamenti successivi alla compromissione. Gli analisti dovrebbero valutare le prove osservabili, come l’abuso di account, il riutilizzo delle infrastrutture e gli schemi di attacco, mantenendo separata la certezza dell’attribuzione dal rilevamento. Un livello di coordinamento può indicare un allineamento o un’amplificazione, ma non dimostra che tutte le attività svolte sotto quel marchio provengano dagli stessi operatori.