SPYOPS.PL

Szukaj /

SpyOps.pl › Mapy › Atrybucja cyberataku: od incydentu do wskazania sprawcy

Mapa pojęciowa

Atrybucja cyberataku: od incydentu do wskazania sprawcy

Osiem kroków od wykrycia incydentu do publicznego wskazania sprawcy i reakcji państw. To skrót tekstu o atrybucji w dziale Cyber; tam pełne omówienie, przykłady i rozbieżności.1,2,3,4,5,6,7,8,9

  1. Incydent

    Wszystko zaczyna się od zdarzenia, które ma lub może mieć niekorzystny wpływ na bezpieczeństwo systemów – tak polska ustawa o krajowym systemie cyberbezpieczeństwa definiuje incydent.

  2. Zgłoszenie i obsługa

    Zgłoszenia przyjmują zespoły CSIRT; w Polsce na poziomie krajowym działają CSIRT GOV, CSIRT MON i CSIRT NASK. Obsługa incydentu to jego wykrycie, rejestracja, analiza, klasyfikacja i usunięcie oraz ograniczenie skutków.

  3. Analiza techniczna

    Analitycy badają narzędzia i ślady ataku. 13 kwietnia 2023 r. SKW i CERT Polska opublikowały analizy trzech narzędzi kampanii szpiegowskiej i listę wskaźników kompromitacji. Porównały też jej elementy z działaniami opisywanymi przez firmy jako NOBELIUM i APT29.

  4. Maskowanie sprawcy

    Sprawcy zacierają ślady. Według rządu Wielkiej Brytanii NotPetya udawał przedsięwzięcie przestępcze, a przy ataku na igrzyska w Pjongczangu cyberjednostka GRU próbowała podszyć się pod hakerów z Korei Północnej i Chin – to fałszywa flaga.

  5. Ocena wywiadowcza

    Technika to nie wszystko. Rada UE podkreśla, że przypisanie opiera się na informacjach wywiadowczych ze wszystkich źródeł (wywiad wieloźródłowy). Pewność opisuje się skalą: w amerykańskiej dyrektywie ICD 203 „niemal na pewno” oznacza 95–99%.

  6. Decyzja polityczna

    Według Rady UE atrybucja pozostaje suwerenną decyzją polityczną. 15 lutego 2018 r. rząd Wielkiej Brytanii ogłosił, że za NotPetya odpowiadał rząd Rosji, a konkretnie rosyjskie wojsko; brytyjskie NCSC oceniło to jako „niemal pewne”. Polskie instytucje przy kampanii z 2023 r. pisały ostrożniej: o działaniach „wiązanych z” rosyjskimi służbami.

  7. Sankcje

    Jedną z odpowiedzi są sankcje UE za cyberataki, część unijnego zestawu narzędzi dyplomacji cyfrowej. W 2020 r. objęły m.in. jednostkę GTsST GRU w związku z NotPetya. Według decyzji Rady nałożenie sankcji nie oznacza jednak przypisania odpowiedzialności państwu trzeciemu.

  8. Akt oskarżenia

    Inną drogą jest proces karny. W październiku 2020 r. Departament Sprawiedliwości USA ogłosił akt oskarżenia sześciu oficerów jednostki 74455 GRU, m.in. w sprawie NotPetya. Zarzut to jeszcze nie wyrok: oskarżonym przysługuje domniemanie niewinności. Pełne omówienie w tekście „Atrybucja: jak państwa wskazują sprawców cyberataków”.

Źródła

  1. Sejm RP, Ustawa o krajowym systemie cyberbezpieczeństwa, t.j. Dz.U. 2026 poz. 20 ze zm. (tekst ujednolicony Kancelarii Sejmu)
  2. Służba Kontrwywiadu Wojskowego i CERT Polska (Portal Gov.pl, Baza wiedzy), Kampania szpiegowska wiązana z rosyjskimi służbami specjalnymi, 13.04.2023
  3. Rząd Wielkiej Brytanii (Foreign Office), Foreign Office Minister condemns Russia for NotPetya attacks, 15.02.2018
  4. Rząd Wielkiej Brytanii (FCDO), UK exposes series of Russian cyber attacks against Olympic and Paralympic Games (komunikat), 19.10.2020
  5. Rada Unii Europejskiej, Draft Council Conclusions on a Framework for a Joint EU Diplomatic Response to Malicious Cyber Activities („Cyber Diplomacy Toolbox”), dok. 10474/17, przyjęte 19.06.2017
  6. Office of the Director of National Intelligence (USA), Intelligence Community Directive 203: Analytic Standards, 2.01.2015 (kopia Federation of American Scientists)
  7. Sara Poli, Emanuele Sommario, The Rationale and the Perils of Failing to Invoke State Responsibility for Cyber-Attacks: The Case of the EU Cyber Sanctions, „German Law Journal” 2023 (przytacza motyw 9 decyzji 2019/797)
  8. Rada Unii Europejskiej, Decyzja Rady (WPZiB) 2020/1127 z 30 lipca 2020 r. – motywy i załącznik (kopia legislation.gov.uk)
  9. Departament Sprawiedliwości USA, Six Russian GRU Officers Charged in Connection with Worldwide Deployment of Destructive Malware and Other Disruptive Actions in Cyberspace, 19.10.2020

Sprawdzono: 6 listopada 2026