Clúster de actividad o grupo nombrado

Ánfora tiene los rastros de tres tiendas atados por la misma conducta. Eso ya es algo: un clúster de actividad, un conjunto de rastros que se mueven juntos porque comparten modo de operar, SIN decir quién los produjo. Es distinto de un grupo nombrado, que es un clúster al que se le ha añadido una atribución —quién está detrás— sostenida y de confianza alta. El clúster responde «esto es el mismo patrón»; el grupo nombrado responde además «y lo hace tal actor». Confundirlos lleva a afirmar autorías que la evidencia no aguanta.

Un clúster habla de qué se repite; un grupo nombrado añade quién, y ese «quién» es un salto que cuesta mucho más probar.

Ánfora se pregunta si puede llamar al actor por un nombre atribuido —ligarlo a un grupo concreto ya catalogado—. La respuesta depende de la evidencia. Un clúster asciende a grupo atribuido solo cuando hay evidencia amplia y difícil de falsificar que lo conecta con ese grupo: infraestructura reutilizada entre campañas, errores operativos, TTP muy específicas sostenidas. Un metadato de teclado que coincide con un aviso no basta —es justo lo que la sala de la bandera falsa enseñó a desconfiar—. Ascender con poca evidencia contamina todo lo que venga después: otros colgarán sus casos de una atribución floja.

El ascenso de clúster a grupo nombrado se gana con evidencia que el actor no pudo plantar. Lo cómodo no cualifica.

Lo liberador del clúster es que no hace falta resolver el «quién» para defenderse. Ánfora puede detectar, bloquear, avisar a otras cadenas y reforzar el correo de proveedores con solo el clúster de actividad: le basta reconocer el patrón. La atribución a una persona o un grupo concreto es interesante y a veces necesaria para lo legal o lo diplomático, pero la defensa del día a día no la espera. Insistir en nombrar al culpable antes de actuar es confundir el trabajo del analista defensivo con el del investigador judicial.

La defensa corre sobre el patrón, no sobre el nombre. Esperar a saber quién es para actuar es regalarle tiempo al actor.

Con todo junto, Ánfora decide. La conducta está sólida: el mismo señuelo, la misma tarea de persistencia y el mismo ritmo de latido en tres tiendas, atados sin duda. Pero la única pista de autoría es un metadato plantable, que no sostiene atribución. La designación honesta hoy es clúster de actividad —fuerte en conducta, sin atribución probada—, no grupo nombrado. Mañana, si aparece infraestructura reutilizada de otra campaña ya atribuida, podrá ascender. Forzar el nombre ahora sería escribir en el informe una certeza que la evidencia no da.

La designación se ajusta a la evidencia que hay, no a las ganas de cerrar el caso con un culpable. Hoy es un clúster; punto.

Abre el estado del actor en la plataforma. Registra la designación que hoy le corresponde —fuerte en conducta, sin atribución de país probada— y el motivo. Abre esa entrada de estado y lee el código que la plataforma le asignó.