Threat intelligence: qué es y cómo se atribuyen ciberataques

Qué es la threat intelligence —en español, inteligencia de amenazas o ciberinteligencia (CTI)— es la pregunta de fondo detrás de cada titular que atribuye un ciberataque a Rusia, China, Corea del Norte o Irán. La CTI es el trabajo de recoger, analizar y contextualizar información sobre quién ataca, cómo y con qué intención, para que gobiernos y empresas puedan anticiparse. Y la atribución, decir quién está detrás, es su parte más difícil y más política.

Este artículo explica el concepto, los modelos que utiliza la industria y una cronología de atribuciones públicas, desde un enfoque descriptivo y sin detalles operativos.

Ficha rápida: la threat intelligence en cinco claves

• Definición: conocimiento basado en evidencias —contexto, mecanismos, indicadores e implicaciones— sobre una amenaza existente o emergente, útil para tomar decisiones. Es, en esencia, la formulación de la consultora Gartner (2013).
• Quién la produce: agencias de inteligencia y ciberseguridad, equipos internos de grandes empresas y proveedores privados como Mandiant, CrowdStrike, Microsoft o Kaspersky.
• Para quién: desde directivos que deben decidir inversiones hasta analistas que vigilan una red concreta.
• Método: el mismo ciclo de la inteligencia clásica —dirección, obtención, análisis, difusión—, aplicado al ciberespacio.
• Producto típico: informes sobre grupos (los llamados APT), campañas, herramientas y tendencias.

Los tres niveles de la inteligencia de amenazas

• Estratégica: para la dirección. Qué actores amenazan a un sector o país, con qué motivos y qué tendencias se esperan.
• Operacional: para los responsables de seguridad. Qué campañas están en marcha y cómo suelen actuar los grupos relevantes.
• Táctica o técnica: para los equipos de defensa. Indicadores concretos, como dominios o huellas de programas maliciosos, que permiten detectar actividad.

Los modelos que usa la industria

La CTI se apoya en varios marcos conceptuales públicos que sirven para ordenar lo que se sabe de un ataque y comparar casos. No son recetas, sino formas de razonar.

La idea de la Pirámide del Dolor resume bien la lógica de la disciplina: a un atacante le cuesta poco cambiar una dirección de internet, pero mucho cambiar su forma de trabajar. Por eso la inteligencia más valiosa no es la lista de indicadores, sino el conocimiento de comportamientos.

Qué es la atribución de un ciberataque

Atribuir es responder a la pregunta «¿quién ha sido?» con distintos grados de precisión: qué máquinas se usaron, qué grupo opera detrás y, en el nivel más alto, qué Estado lo dirige o lo tolera. Los investigadores Thomas Rid y Ben Buchanan, en un artículo de referencia publicado en 2015, describieron la atribución como un proceso con niveles técnicos, operacionales y estratégicos, y subrayaron que la decisión final de señalar a un Estado es, sobre todo, política.

La atribución es lo que los Estados hacen de ella.

Thomas Rid y Ben Buchanan, «Attributing Cyber Attacks», Journal of Strategic Studies, 2015

Para llegar a una atribución se combinan pistas técnicas —herramientas reutilizadas, infraestructura, horarios de actividad, errores—, análisis de motivaciones y, en el caso de los gobiernos, inteligencia clasificada que no siempre se hace pública. Ninguna pista aislada es concluyente.

Cronología de grandes atribuciones públicas

1. Febrero de 2013 — APT1: la empresa Mandiant publica un informe que vincula a un grupo de ciberespionaje con la Unidad 61398 del Ejército Popular de Liberación chino. En mayo de 2014, el Departamento de Justicia de EE. UU. acusa formalmente a cinco oficiales de esa unidad.
2. Diciembre de 2014 — Sony Pictures: el FBI atribuye a Corea del Norte el ataque contra el estudio. Algunos expertos privados se mostraron escépticos al principio, lo que abrió un debate sobre las pruebas que deben hacerse públicas.
3. Diciembre de 2017 — WannaCry: Estados Unidos y Reino Unido atribuyen a Corea del Norte el programa que en mayo había paralizado ordenadores en unos 150 países, incluidos hospitales británicos.
4. Febrero de 2018 — NotPetya: Reino Unido, Estados Unidos y otros aliados atribuyen al Ejército ruso el ataque de junio de 2017, que golpeó primero a Ucrania y después a empresas de todo el mundo. En octubre de 2020, la justicia estadounidense acusa a seis oficiales del GRU.
5. 2018 — Olympic Destroyer: el ataque contra la ceremonia inaugural de los Juegos de Invierno de Pyeongchang incluía rastros falsos que apuntaban a Corea del Norte. Analistas de Kaspersky detectaron la manipulación; la acusación estadounidense de 2020 lo atribuyó también al GRU.
6. Abril de 2021 — SolarWinds: el Gobierno estadounidense atribuye formalmente al servicio de inteligencia exterior ruso (SVR) la campaña de espionaje que comprometió software de gestión usado por miles de organizaciones.
7. 2023-2024 — Volt Typhoon: las agencias de los Cinco Ojos alertan de que un grupo vinculado al Estado chino se ha infiltrado en infraestructuras críticas estadounidenses, con una preocupación declarada por su posible uso en una crisis.

Los límites de la atribución

Falsas banderas

Olympic Destroyer demostró que los atacantes pueden fabricar pistas para inculpar a otro. Por eso la atribución seria nunca descansa en un único indicador, sino en la convergencia de muchos.

Grados de confianza

Los informes rigurosos expresan su conclusión con niveles de confianza —baja, moderada, alta—, una práctica heredada del análisis de inteligencia clásico. Ya en 1964, el analista de la CIA Sherman Kent propuso traducir esas expresiones a probabilidades aproximadas para evitar malentendidos. Técnicas como el análisis de hipótesis en competencia, popularizado por Richards Heuer, buscan reducir los sesgos del analista.

Cada empresa, un nombre

Un mismo grupo puede tener varios nombres según quién lo estudie: el que muchos conocen como APT28 es Fancy Bear para CrowdStrike y Forest Blizzard en la nomenclatura que Microsoft adoptó en 2023. Las equivalencias no siempre son exactas, lo que complica la comparación entre informes.

Pruebas que no se publican

Los gobiernos suelen apoyarse en inteligencia que no pueden revelar sin comprometer sus fuentes. Eso obliga al público a confiar en declaraciones oficiales y alimenta el escepticismo, especialmente cuando la atribución tiene consecuencias diplomáticas o sanciones.