Una minaccia attribuita a uno stato-nazione è un operatore cyber ritenuto operare per, o verso gli obiettivi di, un governo. Questi gruppi in genere perseguono spionaggio, sabotaggio, influenza o accesso strategico piuttosto che un rapido guadagno finanziario. Spesso dispongono di risorse migliori rispetto ai criminali comuni: malware personalizzato, infrastrutture affidabili, operatori pazienti e la capacità di adattarsi quando i difensori bloccano un approccio.
Nelle attacchi reali, questo può tradursi in phishing mirato, allegati armati, furto di credenziali o persistenza furtiva all'interno di reti governative e dei settori critici. Le loro campagne sono importanti perché possono rimanere nascoste per lunghi periodi, raccogliere dati sensibili e modificare le tattiche man mano che le difese migliorano. Per i difensori, i segnali chiave sono attività di autenticazione insolite, metodi di consegna sospetti, tipi di file rari e ripetuti tentativi di mantenere l'accesso dopo la bonifica.