Qué son los APT y cómo se atribuyen a los Estados
· Por Redacción Archivo Bélico
Los APT combinan recursos, persistencia y objetivos estratégicos. Sus nombres y atribuciones exigen distinguir evidencia técnica de juicios de inteligencia.
Qué es una amenaza persistente avanzada
NIST define una APT como un adversario con experiencia sofisticada y recursos importantes que emplea múltiples vías para mantener una presencia prolongada y cumplir objetivos. “Avanzada” describe capacidad; “persistente”, continuidad y adaptación; “amenaza”, la combinación de intención y medios.
Por qué se asocian con Estados
Campañas largas de espionaje, influencia o interrupción pueden exigir financiación, personal, infraestructura y tolerancia al riesgo que suelen asociarse a servicios estatales. Sin embargo, APT no significa automáticamente “agencia gubernamental”: también es una etiqueta analítica y comercial aplicada a conjuntos de actividad.
Nombres distintos para la misma actividad
Un mismo grupo puede recibir nombres diferentes de gobiernos y empresas porque cada organización observa partes distintas de la campaña. APT40, por ejemplo, también aparece bajo varios alias. La nomenclatura no prueba identidad por sí sola y puede fusionar o separar actividades a medida que cambia la evidencia.
Cómo se construye una atribución
- Infraestructura y herramientas repetidas entre campañas.
- Patrones de objetivos, horarios e idioma.
- Errores operativos y vínculos con identidades conocidas.
- Información de inteligencia que rara vez se publica completa.
- Evaluaciones coordinadas entre agencias y países aliados.
China, Rusia, Irán y Corea del Norte
CISA mantiene perfiles públicos de actividad vinculada a estos cuatro Estados. Los objetivos atribuidos varían: espionaje político y económico, preparación sobre infraestructuras, influencia o generación de ingresos. Cada acusación debe citarse como atribución de una autoridad concreta, no como certeza técnica absoluta.
El problema de la certeza
Las técnicas observadas pueden documentarse con alta confianza, mientras la identidad del patrocinador sigue siendo un juicio de inteligencia. La atribución pública también tiene una dimensión diplomática. Un tratamiento riguroso separa actividad, actor técnico, patrocinio probable y decisión política de nombrarlo.
Preguntas frecuentes
- ¿APT significa hacker estatal?
- No necesariamente. Describe una amenaza sofisticada y persistente; muchas se atribuyen a Estados, pero la etiqueta no demuestra patrocinio.
- ¿Por qué un grupo tiene varios nombres?
- Gobiernos y empresas usan datos y criterios distintos, por lo que asignan alias diferentes a conjuntos de actividad parcialmente coincidentes.
- ¿Puede probarse una atribución?
- Puede acumularse evidencia sólida, pero parte de la inteligencia permanece clasificada y la conclusión suele expresarse con niveles de confianza.
Fuentes y referencias
- NIST, Advanced Persistent Threat: https://csrc.nist.gov/glossary/term/advanced_persistent_threat
- CISA, Nation-State Cyber Actors: https://www.cisa.gov/topics/cyber-threats-and-advisories/nation-state-cyber-actors
- CISA, APT40 Tradecraft in Action: https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-190a
- CISA, Russian state-sponsored cyber threats: https://www.cisa.gov/news-events/alerts/2022/01/11/understanding-and-mitigating-russian-state-sponsored-cyber-threats-us-critical-infrastructure