Atrybucja: jak państwa wskazują sprawców cyberataków

Czym jest atrybucja

Atrybucja to wskazanie, kto odpowiada za cyberatak. Rada UE w konkluzjach z 19 czerwca 2017 r. ujęła to jednoznacznie: przypisanie ataku państwu albo podmiotowi niepaństwowemu pozostaje suwerenną decyzją polityczną, opartą na informacjach wywiadowczych ze wszystkich źródeł (zob. wywiad wielozródłowy).¹

Nie ma więc jednego międzynarodowego arbitra, który rozstrzyga, kto zaatakował. Unijna decyzja o sankcjach za cyberataki z 2019 r. przypomina w motywie 9, że każde państwo członkowskie samo ocenia, czy przypisać atak państwu trzeciemu, i robi to w każdej sprawie osobno.⁴

Ocenę utrudnia to, że sprawcy się maskują. Według rządu Wielkiej Brytanii atak NotPetya z czerwca 2017 r. udawał przedsięwzięcie przestępcze, choć jego głównym celem było zakłócenie działania systemów. Z kolei cyberjednostka rosyjskiego wywiadu wojskowego w czasie ataku na zimowe igrzyska w Pjongczangu w 2018 r. próbowała podszyć się pod hakerów północnokoreańskich i chińskich – to klasyczna fałszywa flaga.^2,5

Od analizy incydentu do komunikatu rządu

Zanim padnie nazwa państwa, incydent bada zespół techniczny. W Polsce zgłoszenia przyjmują i obsługują zespoły CSIRT. Dobrym przykładem jest komunikat z 13 kwietnia 2023 r.: Służba Kontrwywiadu Wojskowego i CERT Polska (CSIRT NASK) opisały kampanię szpiegowską wymierzoną głównie w ministerstwa spraw zagranicznych i placówki dyplomatyczne państw NATO i UE, opublikowały analizy narzędzi i listę wskaźników, a sprawcę określiły ostrożnie – jako kampanię „wiązaną z rosyjskimi służbami specjalnymi”.⁶

Ten sam komunikat pokazuje, jak w praktyce łączy się analizę techniczną z wcześniejszą wiedzą: według SKW i CERT Polska elementy kampanii pokrywały się częściowo albo w całości z działaniami, które Microsoft nazywał NOBELIUM, a Mandiant – APT29. Nazwy grup nadają firmy i badacze; nie są to oficjalne nazwy jednostek.⁶

Ostatni krok jest polityczny. 15 lutego 2018 r. brytyjski minister ds. cyberbezpieczeństwa lord Ahmad of Wimbledon ogłosił, że według oceny rządu za NotPetya odpowiadał rząd Rosji, a konkretnie rosyjskie wojsko. Komunikat zapowiadał też wzmacnianie skoordynowanych działań międzynarodowych.²

Jak brzmi pewność: język ocen wywiadowczych

Komunikaty o atrybucji rzadko mówią „na pewno”. W USA zasady pisania ocen wyznacza dyrektywa ODNI nr 203 (ICD 203) o standardach analitycznych, podpisana 2 stycznia 2015 r. przez Jamesa R. Clappera. Wymaga ona, by analizy wskazywały i uzasadniały niepewność głównych ocen, opisywały jakość i wiarygodność źródeł oraz wyraźnie oddzielały informacje od założeń i wniosków.³

ICD 203 zawiera skalę prawdopodobieństwa z przedziałami procentowymi: od „prawie bez szans” (1–5%) przez „mniej więcej równe szanse” (45–55%) do „niemal na pewno” (95–99%). Pewność analityczna to co innego: dotyczy logiki i dowodów, na których opiera się ocena. Dyrektywa zastrzega, że tych dwóch miar nie łączy się w jednym zdaniu.³

W Wielkiej Brytanii podobną rolę pełni skala prawdopodobieństwa opisana przez profesję analizy wywiadowczej (publikacja z 24 marca 2025 r.): „niemal pewne” to około 95% do mniej niż 100%, a „realna możliwość” – około 40% do mniej niż 50%. Pewność analityczna według tego dokumentu opisuje, jak solidne i stabilne są podstawy oceny prawdopodobieństwa.⁷

W tym języku napisano oba brytyjskie komunikaty o rosyjskim wywiadzie wojskowym: NCSC ocenił, że za NotPetya „niemal na pewno” odpowiadało rosyjskie wojsko, a w 2020 r. – z wysoką pewnością – że ataki na igrzyska olimpijskie były „niemal na pewno (95%+)” dziełem jednostki GTsST.^2,5

Przypisanie a sankcje: unijny zestaw narzędzi

W 2017 r. Rada UE przyjęła ramy wspólnej odpowiedzi dyplomatycznej na złośliwe działania w cyberprzestrzeni, nazywane zestawem narzędzi dyplomacji cyfrowej (cyber diplomacy toolbox). Obejmują one środki wspólnej polityki zagranicznej i bezpieczeństwa, w razie potrzeby także środki ograniczające, które mają być proporcjonalne do skali i skutków ataku. Konkluzje zaznaczają, że nie każdy krok wymaga atrybucji.¹

Podstawą prawną sankcji UE za cyberataki jest decyzja Rady (WPZiB) 2019/797 z 17 maja 2019 r. Obejmuje ona ataki o znaczącym skutku, także usiłowane, polegające na nieuprawnionym dostępie do systemów, ingerencji w system lub dane albo przechwytywaniu danych. O znaczeniu skutku decydują m.in. zasięg zakłóceń, liczba poszkodowanych i państw członkowskich, straty gospodarcze i rodzaj wykradzionych danych.⁸

Motyw 9 tej decyzji oddziela sankcje od atrybucji: nałożenie środków ograniczających na osoby i podmioty nie oznacza przypisania odpowiedzialności państwu trzeciemu.⁴

Pierwsze sankcje Rada nałożyła 30 lipca 2020 r. (decyzja 2020/1127): na sześć osób i trzy podmioty, z zakazem wjazdu i zamrożeniem aktywów, w związku z próbą ataku na OPCW oraz atakami znanymi jako WannaCry, NotPetya i Operation Cloud Hopper.⁹

Załącznik decyzji wymienia m.in. Główne Centrum Technologii Specjalnych (GTsST) GRU, znane też jako poczta polowa 74455, w związku z NotPetya i atakami na ukraińską sieć energetyczną zimą 2015 i 2016 r.; podaje, że NotPetya przeprowadził podmiot publicznie znany jako Sandworm. Przy północnokoreańskim podmiocie Chosun Expo wśród ataków wymieniono także ataki na polską Komisję Nadzoru Finansowego.¹⁰

Akt oskarżenia: atrybucja przed sądem

Trzecią drogą jest postępowanie karne. 19 października 2020 r. Departament Sprawiedliwości USA ogłosił, że ława przysięgłych w Pittsburghu (Zachodni Dystrykt Pensylwanii) oskarżyła sześciu oficerów jednostki 74455 GRU. Zarzuty dotyczą m.in. ataków na ukraińską sieć energetyczną, wyborów we Francji w 2017 r., NotPetya, ataku Olympic Destroyer na igrzyska w Pjongczangu oraz działań wobec OPCW i brytyjskiego laboratorium DSTL.¹¹

Akt oskarżenia nie jest wyrokiem. Departament Sprawiedliwości sam zaznacza, że zarzuty są tylko oskarżeniami, a oskarżonym przysługuje domniemanie niewinności. W komunikacie podziękowano m.in. władzom Ukrainy, Korei Południowej, Nowej Zelandii i Gruzji, brytyjskim służbom wywiadowczym oraz firmom technologicznym.¹¹

Tego samego dnia rząd Wielkiej Brytanii opublikował własną ocenę ataków na igrzyska i odnotował zarzuty postawione przez Departament Sprawiedliwości. Dwa państwa ogłosiły więc swoje ustalenia równolegle, każde w innej formie.⁵

Polska: komunikaty, sankcje, solidarność

Polska korzysta z tych samych narzędzi. 31 lipca 2020 r. MSZ opublikowało informację o pierwszych unijnych sankcjach za cyberataki.⁹

3 maja 2024 r. MSZ wydało oświadczenie o złośliwych działaniach Rosji w cyberprzestrzeni. Wyraziło solidarność z Niemcami i Czechami, które publicznie przypisały grupie APT28 kampanię wymierzoną w ich partie polityczne i instytucje demokratyczne, opisało APT28 jako grupę kontrolowaną przez Federację Rosyjską i podało, że Polska także była jej celem.¹²

W tym oświadczeniu Polska nie przedstawiła własnej analizy ataków na Niemcy i Czechy, tylko wyraziła solidarność z państwami, które ogłosiły atrybucję. Przy kampanii z 2023 r. polskie instytucje same opisały incydent i wskazały powiązanie z rosyjskimi służbami.^6,12

Jak czytać komunikat o atrybucji

Warto zadać kilka pytań. Kto mówi – rząd, służba, zespół CSIRT, Rada UE czy prokuratura? Jakiej skali pewności używa – „niemal na pewno” czy „wiązana z”? Czy chodzi o przypisanie państwu, sankcje wobec osób i podmiotów, które według prawa UE atrybucją nie są, czy o akt oskarżenia, który jest dopiero zarzutem?^3,4,11

Pomaga też rozróżnienie między nazwą jednostki a nazwą grupy. GTsST to jednostka GRU wymieniona w decyzji Rady; „Sandworm” czy „APT28” to nazwy używane publicznie, które dokumenty rządowe przejmują z opisów badaczy. SpyOps.pl podaje sprawców cyberataków wyłącznie za oficjalnymi przypisaniami rządów i organów UE, z datą – tak jak w karcie NotPetya.^10,12