Atribución con cautela

Atribuir es decir que varios incidentes los hizo la misma mano. Un conjunto de actividad es el nombre que se da a incidentes con rasgos en común, sin afirmar quién está detrás: no es una organización ni una persona. Aun así, incluso para llegar a ese nivel hace falta algo más que parecidos.

Hay rasgos que cualquier otro actor puede copiar o sembrar a propósito: el idioma de las cadenas de texto, la hora de compilación (es un campo que se edita), el nombre de usuario en una ruta interna, el código tomado de un constructor filtrado que usan muchos operadores. Un rasgo así no distingue a quien lo hizo de quien quiere parecer que lo hizo, y compartirlo con otros conjuntos lo vuelve menos específico todavía. Atribuir se apoya en rasgos difíciles de copiar: infraestructura propia, hábitos operativos repetidos en varias campañas, combinaciones que exigen controlar algo.

Abre el laboratorio. En la carpeta atribucion está la lista de rasgos de S-1402 con tres columnas útiles: de dónde sale cada rasgo, si otro actor lo copia sin esfuerzo y si lo comparten otros conjuntos. Léela entera antes de elegir.

La pregunta de fondo para cada rasgo es la misma: ¿qué tendría que hacer otro actor para fingirlo? Si basta con escribir una línea o editar un campo, el rasgo no pesa. Si exige controlar un servidor ajeno, sí.

El proveedor concluyó con confianza alta. Cuando un informe externo afirma algo fuerte, la primera comprobación es sobre qué rasgos lo sostiene y si quien lo escribió tenía acceso a la misma evidencia que tú. Un informe puede estar bien hecho y aun así descansar en una base que, con tus datos, pesa muy poco: eso no lo vuelve deshonesto, solo lo hace distinto de tu conclusión.

Lee informe-del-proveedor.txt, y cruza lo que cita con rasgos.txt. Fíjate también en la nota del proveedor sobre la captura de red.

La política de atribución de Cacaotal convierte el criterio en tres niveles que dependen de cuántos rasgos difíciles de copiar hay y de si queda alguna hipótesis alternativa abierta. El idioma, la hora de compilación, los nombres en rutas y el código compartido no cuentan como rasgos difíciles de copiar.

Aplica la política con los datos de rasgos.txt y hipotesis.txt: cuenta los rasgos que sí pesan, mira qué hipótesis siguen abiertas y escribe la frase que el informe puede sostener, con su nivel.

Listar las hipótesis que siguen abiertas no es una formalidad: es lo que permite que el informe se corrija. Si el equipo solo escribe la hipótesis que prefiere, cuando aparezca un dato que la contradiga nadie sabrá qué otras explicaciones se habían considerado, y la conclusión parecerá un cambio de opinión en lugar de un avance normal del análisis.

También protege al lector. Quien decide un bloqueo, una denuncia o una comunicación pública merece saber qué parte de la conclusión es sólida y qué parte depende de una explicación entre varias posibles.