A principal ideia a reter é que a atribuição de um ciberataque não é um facto absoluto. Trata-se de uma análise baseada em indícios e expressa através de diferentes graus de confiança. Compreender esta distinção é essencial para evitar conclusões precipitadas e respostas inadequadas.
Três níveis de atribuição
Um dos erros mais frequentes consiste em confundir diferentes níveis de atribuição.
O nível técnico procura identificar as máquinas, endereços IP, servidores ou ferramentas utilizadas. É o mais fácil de obter, mas também o menos conclusivo.
O nível operacional tenta determinar o grupo ou equipa responsável pelo ataque com base em padrões observados ao longo do tempo.
O nível estratégico procura identificar quem patrocinou, financiou ou beneficiou da operação. É o mais complexo e aquele que envolve maiores implicações políticas e diplomáticas.
O problema surge quando se tira uma conclusão estratégica com base apenas em evidências técnicas limitadas.
Por que os endereços IP não provam a autoria?
Muitas pessoas assumem que o endereço IP de origem identifica automaticamente o atacante. Na prática, isso raramente acontece.
Os atacantes utilizam frequentemente servidores comprometidos, proxies, VPN ou outras infraestruturas intermédias para ocultar a origem real. Como resultado, o endereço registado nos sistemas corresponde, muitas vezes, a uma máquina igualmente comprometida e não ao verdadeiro autor do ataque.
Por essa razão, associar um ataque a um país apenas porque um endereço IP está localizado nesse território pode conduzir a conclusões erradas.
Os restantes indícios também podem enganar
Outros elementos frequentemente utilizados para atribuição apresentam limitações semelhantes.
Entre os exemplos mais comuns encontram-se:
- Geolocalização dos endereços IP.
- Fusos horários observados nas actividades.
- Idiomas presentes em código ou documentos.
- Ferramentas e aplicações utilizadas durante o ataque.
Todos estes sinais podem ser facilmente manipulados para criar falsas pistas e dificultar a investigação.
Um dos exemplos mais conhecidos foi o ataque aos Jogos Olímpicos de Inverno de 2018, onde vários indícios foram deliberadamente plantados para apontar investigadores para diferentes suspeitos. O caso demonstrou que até equipas altamente especializadas podem chegar a conclusões distintas quando enfrentam operações de ocultação sofisticadas.
A Kaspersky descobriu que, os atacantes tinham inserido no código uma “impressão digital” que correspondia a 100% a malware conhecido de um grupo ligado à Coreia do Norte, um indício que parecia a prova definitiva. Só que era forjado: um falso indício sofisticado, plantado precisamente para dar aos investigadores a sensação de terem encontrado a arma do crime (Kaspersky, via Silicon). A própria Kaspersky concluiu que não conseguia identificar o autor, “por ser um exemplo único de implementação de bandeiras falsas muito sofisticadas” (Security Affairs).
Os elementos mais úteis para uma atribuição credível não são normalmente os artefactos técnicos isolados, mas sim os padrões de comportamento. A grande lição é que a atribuição exige prudência: o indício aparentemente mais convincente pode ser exactamente aquele que foi criado para enganar os investigadores.
Os investigadores procuram sinais consistentes ao longo do tempo, como:
- Repetição das mesmas actividades em múltiplos incidentes.
- Horários de operação semelhantes.
- Escolha recorrente dos mesmos tipos de alvos.
- Utilização continuada das mesmas técnicas e procedimentos.
Estes padrões são mais difíceis de falsificar durante longos períodos e ajudam a estabelecer ligações entre diferentes operações.
Ainda assim, mesmo estes indicadores raramente permitem afirmar uma autoria com certeza absoluta. O resultado mais comum é uma conclusão do tipo: “actividade consistente com determinado grupo, com um determinado grau de confiança”.
O que isto significa para uma instituição
Para instituições, a prudência é fundamental. Um endereço IP, uma localização ou um idioma encontrado durante uma investigação não constituem provas suficientes para atribuir publicamente um ataque a um país, organização ou grupo específico.
Além disso, uma atribuição incorrecta pode afectar a credibilidade da instituição e gerar consequências que vão muito além da área técnica.
Por esse motivo, os relatórios devem utilizar linguagem objectiva e baseada em níveis de confiança, distinguir claramente os factos comprovados de hipóteses analíticas.
Existem duas práticas particularmente desaconselhadas:
A primeira é tentar retaliar contra a origem aparente do ataque. Além de poder ser ilegal, existe uma elevada probabilidade de essa origem corresponder a uma vítima intermédia e não ao verdadeiro atacante.
A segunda é fazer atribuições públicas sem validação institucional adequada. A função da equipa técnica é recolher evidências, documentar os factos e apoiar a investigação, não emitir conclusões estratégicas.
Como responder a um incidente?
Perante um ataque, a prioridade deve ser:
- Conter o incidente.
- Preservar e documentar as evidências.
- Registar todas as ações realizadas.
- Comunicar através dos canais institucionais competentes.
- Escalar a situação para as entidades responsáveis.
A identificação do autor pode ser importante, mas não deve atrasar as ações necessárias para proteger os sistemas e restaurar os serviços.
A atribuição de ciberataques é uma das áreas mais complexas da cibersegurança. Os indícios técnicos revelam frequentemente o caminho percorrido pelo ataque, mas raramente identificam, por si só, o responsável.
Por essa razão, as organizações devem privilegiar conclusões baseadas em evidências, expressas com níveis de confiança adequados e livres de especulação. Em matéria de atribuição, a abordagem mais rigorosa não é afirmar mais, mas reconhecer claramente o que se sabe, o que se suspeita e o que ainda não é possível provar.
