Processo analítico de identificação do autor, operador, patrocinador ou Estado responsável por uma operação adversária no domínio cibernético ou informacional, estruturado em camadas técnica, operacional e política, e estruturalmente afetado por incentivos à ofuscação que tornam a atribuição condição necessária — porém não suficiente — para a dissuasão e a responsabilização.
1. Definição e Escopo
A Análise de Atribuição designa o conjunto de práticas analíticas que busca identificar quem executou, quem operou e quem patrocinou uma ação adversária — tipicamente uma operação cibernética (intrusão, sabotagem digital, ransomware), uma operação informacional (desinformação, inautenticidade coordenada, astroturfing) ou um ato de guerra informacional em sentido amplo. A formulação canônica do problema, desenvolvida por Rid e Buchanan (2015), distingue três camadas de atribuição que não se confundem: a camada técnica (identificação de táticas, técnicas e procedimentos — TTPs —, indicadores de comprometimento — IoCs —, malware e infraestrutura empregados), a camada operacional (identificação do grupo ou unidade que executou a operação, frequentemente designado por nomes de ameaça como APT28, Sandworm, Cozy Bear ou Lazarus) e a camada política (identificação do Estado, agência ou ator estratégico responsável pela operação, ainda que executada por terceiros aparentes).
A distinção é analiticamente decisiva. A atribuição técnica produz evidências replicáveis e verificáveis (assinaturas de código, padrões de tráfego, escolhas operacionais idiossincráticas), mas raramente identifica isoladamente o ator político. A atribuição operacional combina evidência técnica com inteligência de fontes humanas, OSINT e sinais para vincular operadores específicos a um grupo identificável. A atribuição política exige, além disso, juízo analítico sobre comando-e-controle estratégico — relação entre o grupo operador e o Estado ou organização patrocinadora —, juízo que envolve historicidade, conhecimento institucional e, frequentemente, inteligência classificada não-divulgável.
O escopo do conceito expandiu-se do domínio estritamente cibernético, em que a problemática foi originalmente formalizada (Lindsay, 2015; Healey, 2013), para abarcar operações informacionais (Rid, 2020) e ações híbridas que integram componentes cinéticos, cibernéticos e cognitivos. Em todos os casos, o problema estrutural é o mesmo: o domínio oferece incentivos sistêmicos à ofuscação — uso de infraestrutura comprometida em terceiros, false-flag personas, encadeamento de operadores intermediários, proxies não-estatais — que rebaixam a probabilidade de atribuição confiável e, por consequência, a probabilidade de responsabilização efetiva.
2. Etimologia e Origem Conceitual
A formulação contemporânea do problema de atribuição emerge da literatura de estudos de segurança cibernética da década de 2000, quando a sucessão de operações estatais de larga escala — Moonlight Maze (1998–2000), Titan Rain (2003–2006), GhostNet (2009), Operação Aurora (2010), Stuxnet (2010), Shamoon (2012) — tornou evidente que a atribuição confiável era condição necessária para qualquer doutrina coerente de dissuasão no domínio cibernético. O termo “problema de atribuição” (attribution problem) consolidou-se como denominação técnica para a dificuldade estrutural de identificar autores em operações cibernéticas, articulada em trabalhos seminais como Clark e Landau (2010), Healey (2013) e, em formulação definitiva, Rid e Buchanan (2015), cujo artigo Attributing Cyber Attacks permanece como referência teórica central.
A genealogia analítica é, contudo, anterior ao domínio cibernético. A literatura de inteligência produzida na Guerra Fria — particularmente sobre Active Measures soviéticas, organizações de fachada e operações de influência (Rid, 2020) — já enfrentava o problema homólogo de atribuir operações de influência disfarçadas. A categoria “medidas ativas” do KGB e a categoria contemporânea “operações de informação” partilham o desenho operacional de dissociação entre executor visível e patrocinador real, e portanto o mesmo desafio epistêmico de atribuição.
Em português, “análise de atribuição” e “atribuição cibernética” são as formas consolidadas na literatura acadêmica e em documentos oficiais brasileiros (Estratégia Nacional de Cibersegurança, Ministério da Defesa). A expressão “problema de atribuição” mantém-se como termo técnico equivalente.
3. Desenvolvimento Histórico
Três fases podem ser identificadas. A fase pré-paradigmática (1998–2010) é caracterizada por operações cibernéticas estatais isoladas — Moonlight Maze atribuída posteriormente à Rússia, Titan Rain atribuída à China, GhostNet documentada pelo Citizen Lab — em que a atribuição foi alcançada de modo casuístico, frequentemente anos após o evento, e com graus desiguais de confiança pública. A divulgação da Operação Aurora (Google, 2010) inaugurou a prática corporativa de atribuição pública por vítimas, marcando a passagem para uma fase de maior visibilidade.
A fase de consolidação metodológica (2010–2017) acompanhou a maturação das indústrias de threat intelligence (Mandiant, CrowdStrike, FireEye, Kaspersky) e a profissionalização da análise de atribuição como serviço. O Relatório APT1 da Mandiant (2013), que atribuiu ao Departamento 61398 do Exército de Libertação Popular chinês uma campanha de espionagem cibernética sistemática contra setores produtivos norte-americanos, estabeleceu o padrão metodológico da atribuição pública: rastreamento de infraestrutura, análise de TTPs, geolocalização de operadores por meio de metadados temporais e linguísticos, e — controversamente — identificação de operadores individuais. O período inclui a atribuição pública dos ataques contra a Sony Pictures (2014) à Coreia do Norte, do malware Stuxnet aos Estados Unidos e Israel (atribuição que permanece tecnicamente não-confirmada por fontes oficiais), e a publicação da Intelligence Community Assessment norte-americana (janeiro de 2017) atribuindo formalmente à Rússia a operação de interferência no ciclo eleitoral de 2016.
A fase de atribuição informacional e judicialização (2017–presente) é definida pela extensão das metodologias de atribuição ao domínio das operações informacionais e pela crescente judicialização da prática. O Relatório Mueller (2019) e os relatórios do Senate Select Committee on Intelligence (5 volumes, 2019–2020) consolidaram metodologias de atribuição de operações informacionais a partir de evidências técnicas (registros de domínio, infraestrutura publicitária), financeiras (cadeias de pagamento em rublos via VPN) e operacionais (depoimentos, vazamentos, conteúdo das próprias contas). A acusação formal da unidade 26165 do GRU (2018) e da Internet Research Agency (2018) por procuradores federais norte-americanos marcou a passagem da atribuição como inteligência para a atribuição como peça processual penal — exigindo padrões probatórios superiores. Operações sancionatórias paralelas (sanções OFAC, Magnitsky, sanções europeias e britânicas) consolidaram o uso de atribuição pública como ferramenta de política externa.
O período recente (2020–presente) inclui a atribuição pública multinacional como prática diplomática — atribuições conjuntas a operações como NotPetya (atribuída ao GRU por Reino Unido, EUA, Austrália, Canadá, Nova Zelândia em 2018), SolarWinds (atribuída ao SVR russo em 2021), Microsoft Exchange (atribuída ao MSS chinês em 2021) — e a maturação da prática de atribuição por consórcios de pesquisadores (OSINT colaborativa entre Bellingcat, Citizen Lab, DFRLab e mídia investigativa).
4. Debate Teórico
O debate organiza-se em torno de quatro questões principais. A primeira é a tese de Rid e Buchanan (2015) de que a atribuição é, contrariamente ao discurso técnico predominante, um processo essencialmente analítico e político, não meramente técnico — caracterizado por incerteza irredutível, juízo bayesiano sobre evidências parciais e necessidade de comunicação pública que articule confiança e ressalvas. Os autores propõem o modelo Q Model (Question, Quality, Quantity, Quickly, Quantify the question) como heurística para estruturar o processo. A formulação contesta a abordagem puramente forense que dominava a literatura técnica anterior e estabelece a atribuição como objeto legítimo de estudos estratégicos.
A segunda questão é a tese de dissuasão estendida ao ciberespaço. Lindsay (2015) argumenta que o problema de atribuição é menos paralisante para a dissuasão do que tradicionalmente assumido: a atribuição pode ser boa o suficiente (good enough attribution) para sustentar dissuasão prática, particularmente quando combinada com sinalização privada (canais diplomáticos), e a melhoria progressiva das capacidades de atribuição altera a relação custo-benefício para o adversário. Em contraposição, Brantly (2014) e parte significativa da literatura técnica argumentam que os incentivos estruturais à ofuscação permanecem dominantes e que a dissuasão cibernética efetiva exige doutrinas alternativas (resiliência, dissuasão por negação).
A terceira questão é a assimetria entre atribuição classificada e atribuição pública. Agências de inteligência podem ter alta confiança na atribuição com base em fontes SIGINT e HUMINT que não podem ser divulgadas sem comprometer capacidades. A atribuição pública exige rebaixamento (sanitização) das evidências, com perda de força probatória. O debate empírico — particularmente no caso da interferência russa de 2016 — registra divergência entre analistas convencidos pelas evidências classificadas e críticos que apontam fragilidade das evidências publicamente disponíveis. A solução institucional mais maduras envolve o uso de avaliações da comunidade de inteligência (ICA), com graduação formal de confiança (high confidence, moderate confidence, low confidence) e identificação de áreas de discordância entre agências.
A quarta questão é a aplicação da metodologia de atribuição a operações informacionais, em que as evidências técnicas (infraestrutura de domínios, padrões de criação de contas, vínculos de pagamento) são complementadas por evidências comportamentais (padrões temporais de postagem, similaridade textual, coordenação de mensagens) e geográficas (metadados de mídia, fusos horários de atividade, idioma e dialetos). A categoria operacional Coordinated Inauthentic Behavior (CIB) adotada pelo Meta tornou-se referência empírica, embora persistam debates sobre falsos positivos, viabilidade da atribuição política a partir da operacional, e tendência da atribuição corporativa a privilegiar atores adversários do governo norte-americano em detrimento de operações aliadas equivalentes.
5. Casos Documentados
O caso MH17 (2014) ilustra atribuição multinível baseada em OSINT. Bellingcat e a Joint Investigation Team holandesa reconstruíram a trajetória do Buk 332 desde sua unidade de origem (53ª Brigada Antiaérea, base em Kursk) até o local de lançamento no Donbass, identificando individualmente o veículo por marcas físicas. A atribuição técnica (sistema, veículo, rota) foi acompanhada de atribuição operacional (unidade) e atribuição política (Estado russo, dado o controle militar do sistema), resultando em condenação criminal de três indivíduos pelo tribunal holandês (2022) e na decisão da Corte Europeia de Direitos Humanos (2023) responsabilizando a Federação Russa.
O caso NotPetya (junho 2017) — o ataque cibernético financeiramente mais destrutivo da história, com perdas estimadas em US$ 10 bilhões — foi atribuído à unidade 74455 do GRU (Sandworm) por meio de atribuição técnica (reutilização de código e infraestrutura previamente vinculados ao GRU em ataques contra a rede elétrica ucraniana), corroborada por inteligência classificada. A atribuição pública conjunta (EUA, Reino Unido, Austrália, Canadá, Nova Zelândia, em fevereiro de 2018) e a posterior acusação criminal de seis oficiais do GRU pelo Departamento de Justiça norte-americano (outubro de 2020) marcaram o uso coordenado de atribuição como ferramenta de política externa e instrumento de responsabilização individual.
A Internet Research Agency e a interferência eleitoral de 2016 (Senate Select Committee on Intelligence, 5 vols., 2019–2020; Mueller Report, 2019; ICA, jan. 2017) representa o caso paradigmático de atribuição de operação informacional. As evidências combinaram metadados de plataforma fornecidos por Facebook, Twitter e Google sob requisição; registros financeiros de pagamentos publicitários em rublos via canais identificáveis; depoimentos de ex-funcionários da IRA; e correlação operacional entre personas digitais e identificadores corporativos. A atribuição política à Federação Russa baseou-se em evidência convergente da comunidade de inteligência norte-americana, com high confidence atribuída por CIA, FBI e NSA.
O caso Pegasus (Citizen Lab, 2016–presente) ilustra atribuição cibernética a ator corporativo (NSO Group) com nexo a clientes estatais identificáveis (Arábia Saudita, Emirados Árabes Unidos, México, Marrocos, entre outros), produzida exclusivamente por meio de OSINT forense e análise de infraestrutura — sem acesso a fontes classificadas. A metodologia tornou-se referência para atribuição de operações de spyware comercial e influenciou políticas regulatórias (sanções OFAC contra a NSO em 2021).
6. Implicações para o Contexto Brasileiro
A capacidade institucional brasileira de atribuição cibernética e informacional permanece em consolidação. O Comando de Defesa Cibernética (ComDCiber), criado em 2014 e elevado a comando conjunto em 2020, opera sob coordenação do Estado-Maior Conjunto das Forças Armadas e concentra capacidades militares de defesa cibernética; sua doutrina pública contempla resposta a ameaças e atribuição, embora a divulgação operacional seja restrita. O CERT.br (NIC.br) opera como Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil, com foco em coordenação técnica de resposta a incidentes; sua atuação em atribuição é limitada à camada técnica e raramente alcança atribuição política pública. A Polícia Federal, por meio da Diretoria de Inteligência e da Coordenação-Geral de Repressão a Crimes Cibernéticos, investiga incidentes com nexo criminal e produziu, em casos isolados, atribuições processualmente formalizadas. A ABIN opera capacidades de inteligência cibernética sob o marco da Lei 9.883/1999 e da Política Nacional de Inteligência (Decreto 8.793/2016), com produção majoritariamente classificada.
A investigação do ecossistema digital do 8 de janeiro de 2023 evidenciou simultaneamente as capacidades e as lacunas brasileiras. A Polícia Federal e a Comissão Parlamentar Mista de Inquérito reconstituíram cadeias de mobilização em Telegram, WhatsApp e plataformas marginais, com identificação de operadores individuais, financiadores e organizadores. A atribuição operacional alcançou centenas de indivíduos processualmente; a atribuição política — vínculos com atores estatais estrangeiros ou com cadeias de comando interno — permanece objeto de investigação e debate jurídico. O caso ilustrou o desafio brasileiro: capacidades dispersas entre PF, ABIN, TSE, pesquisadores acadêmicos (NetLab/UFRJ, INCT.DD) e plataformas, sem doutrina coordenada de atribuição pública para operações informacionais.
O marco regulatório brasileiro apresenta lacunas significativas para atribuição. A Lei 12.737/2012 (Lei Carolina Dieckmann) e o Código Penal tratam de crimes cibernéticos individuais, mas não estabelecem doutrina específica para atribuição de operações cibernéticas estatais ou patrocinadas. A Lei 14.197/2021 atualizou crimes contra o Estado Democrático de Direito, criminalizando explicitamente a tentativa de abolição violenta e o golpe de Estado, mas não articula tipologia específica para operações informacionais ou cibernéticas patrocinadas por Estados estrangeiros. A LGPD (Lei 13.709/2018) e o Marco Civil da Internet (Lei 12.965/2014) limitam o acesso a metadados de plataforma, com implicações operacionais para a coleta de evidências de atribuição por pesquisadores e órgãos investigativos.
O ecossistema acadêmico e da sociedade civil brasileiro tem produzido atribuição informacional de qualidade. NetLab/UFRJ, InternetLab, Coalizão Direitos na Rede, Aos Fatos, Agência Lupa, Comprova e o Tribunal Superior Eleitoral, em ciclos recentes, mapearam redes coordenadas, plataformas de monetização de desinformação e padrões de comportamento inautêntico coordenado em ciclos eleitorais e em torno de pautas críticas. Persistem, contudo, lacunas: (i) ausência de doutrina nacional pública de atribuição cibernética estatal; (ii) limitada produção brasileira de relatórios públicos de atribuição comparáveis aos da Mandiant, CrowdStrike ou Kaspersky; (iii) dependência de plataformas estrangeiras para evidência primária de atribuição informacional; (iv) escassez de formação acadêmica em metodologias de atribuição em programas brasileiros.
7. Ver Também
- Inteligência de Fontes Abertas (OSINT)
- Inautenticidade Coordenada (CIB)
- Operações de Informação
- Guerra Informacional
- Desinformação
- Astroturfing
- Ameaças Híbridas
8. Referências
BRANTLY, Aaron F. The cyber losers. Democracy and Security, v. 10, n. 2, p. 132-155, 2014.
HEALEY, Jason (Org.). A Fierce Domain: Conflict in Cyberspace, 1986 to 2012. Washington: Cyber Conflict Studies Association, 2013.
LINDSAY, Jon R. Tipping the scales: the attribution problem and the feasibility of deterrence against cyberattack. Journal of Cybersecurity, v. 1, n. 1, p. 53-67, 2015.
RID, Thomas. Active Measures: The Secret History of Disinformation and Political Warfare. Nova York: Farrar, Straus and Giroux, 2020.
RID, Thomas; BUCHANAN, Ben. Attributing cyber attacks. Journal of Strategic Studies, v. 38, n. 1-2, p. 4-37, 2015. DOI: 10.1080/01402390.2014.977382.
UNITED STATES. Intelligence Community Assessment. Assessing Russian Activities and Intentions in Recent US Elections. Washington: ODNI, 6 jan. 2017.
UNITED STATES. Senate Select Committee on Intelligence. Report on Russian Active Measures Campaigns and Interference in the 2016 U.S. Election. Washington: US Senate, 2019-2020. (5 volumes).
Verbete submetido ao NEGISC — Núcleo de Estudos em Guerra Informacional e Segurança Cognitiva / GEPSI / IREL / UnB. Licença CC BY-SA 4.0.