L'attribuzione non verificata è un collegamento nominativo tra vittima o attaccante che non è stato confermato in modo indipendente. Nella sicurezza informatica, significa che una rivendicazione pubblica può sembrare specifica, ma le prove sottostanti sono ancora mancanti o incomplete. Un attore malevolo può essere nominato, un'azienda può essere accusata di essere stata violata, oppure una fuga di dati può essere annunciata prima che i difensori possano convalidare i fatti.
Questo è importante perché l'attribuzione influenza la risposta. Se i team trattano una rivendicazione non confermata come vera, possono perdere tempo, creare panico tra gli utenti o accettare una falsa pressione estorsiva. Se la ignorano del tutto, possono perdere una compromissione reale. I difensori dovrebbero verificare log, percorsi di accesso, esposizione dei dati e indicatori interni prima di accettare la rivendicazione come fatto. Negli attacchi reali, l'attribuzione non verificata appare spesso in post estorsivi, minacce di fuga di dati o resoconti alimentati da voci, pensati per forzare un contatto e creare danni reputazionali.