L'attribuzione della vittima è il processo di collegare una rivendicazione di minaccia, un post di fuga di dati o un rapporto di incidente a un'organizzazione reale. Nella sicurezza informatica, questo è spesso incerto perché gli aggressori possono usare soprannomi, etichettare in modo errato i bersagli, riutilizzare dati pubblici o fare rivendicazioni prima che qualsiasi compromissione sia confermata. Una forte attribuzione richiede più di un nome o di uno screenshot; i difensori cercano prove di supporto come la proprietà del dominio, i registri di autenticazione, la telemetria dell'host, l'attività della casella di posta e gli avvisi interni.
Questo è importante perché un'attribuzione inaccurata può sprecare sforzi di risposta, creare rumore di falsi allarmi e danneggiare la reputazione. Nei casi di ransomware, per esempio, un nome della vittima pubblicato può riflettere una violazione reale, un'intrusione parziale o solo una tattica di pressione. I team di sicurezza usano l'attribuzione della vittima per decidere se indagare, notificare le parti interessate, preservare le prove e verificare se la rivendicazione corrisponde all'attività osservata. Una buona pratica è trattare la rivendicazione come un indizio, non come una conclusione, finché la convalida tecnica non è completa.