L'attribuzione dell'attore di minaccia è il processo di collegare un incidente informatico, una campagna o un artefatto a un gruppo specifico, a un operatore o, talvolta, a un team collegato a uno Stato. Può basarsi sul codice del malware, sull'infrastruttura, sulle tattiche, sul profilo della vittima, su indizi linguistici o sul riutilizzo di credenziali e strumenti. L'attribuzione è spesso probabilistica, non assoluta, perché gli aggressori possono imitarsi a vicenda, riutilizzare strumenti pubblici o inserire deliberatamente falsi indizi.
Nella sicurezza informatica, l'attribuzione è importante perché aiuta i difensori a comprendere la motivazione, i probabili bersagli e il comportamento futuro, e può supportare il threat hunting, l'ingegneria del rilevamento e decisioni legali o di politica. Negli attacchi reali, una rivendicazione può nominare un gruppo noto e allegare un hash, ma ciò da solo non prova una violazione o un'identità. Una buona analisi separa le prove dall'affermazione e valida l'attribuzione con log, telemetria degli endpoint, attività di rete e altri indicatori indipendenti prima di considerare affidabile il collegamento.