threat actor

Threat actor to osoba, grupa albo organizacja stojąca za wrogim działaniem wobec systemów informatycznych. Glosariusz NIST definiuje to pojęcie najkrócej jako osobę lub grupę stanowiącą zagrożenie, a w innych publikacjach jako źródło ryzyka zdolne wyrządzić szkodę ^[1]. Termin pochodzi z modeli threat intelligence i obejmuje zarówno samotnego przestępcę, jak i strukturę działającą na zlecenie państwa. W polskich tekstach redakcyjnych zwykle zastępuje się go słowem „atakujący” albo „grupa”, a angielską formę zostawia w cytatach ^[6].

Jak działa pojęcie

Standard STIX 2.1, używany do wymiany informacji o zagrożeniach, opisuje obiekt Threat Actor jako rzeczywiste osoby, grupy lub organizacje, co do których istnieje przekonanie, że działają w złym zamiarze ^[2]. Specyfikacja oddziela threat actor od zbioru włamań (intrusion set): ten sam sprawca może z czasem wspierać różne zbiory włamań i kampanie ^[2]. Opis obejmuje motywy, możliwości, cele, poziom zaawansowania, dotychczasową aktywność, dostępne zasoby i rolę w organizacji ^[2].

MITRE ATT&CK używa pokrewnego pojęcia grupy. Grupy to według MITRE klastry aktywności śledzone w środowisku bezpieczeństwa pod wspólną nazwą; analitycy nazywają je też grupami zagrożeń, grupami aktywności albo threat actor ^[3]. Katalog ATT&CK wymienia 180 grup ^[3]. Każdej przypisano obserwowane taktyki, techniki i procedury (TTP) oraz używane oprogramowanie ^[3].

Droga od surowych śladów do nazwanego sprawcy wygląda zwykle tak, jak na schemacie poniżej.

RYS. 1Od śladów do nazwanego sprawcy

Rodzaje

STIX 2.1 zawiera otwarty słownik typów sprawców: activist, competitor, crime-syndicate, criminal, hacker, insider-accidental, insider-disgruntled, nation-state, sensationalist, spy, terrorist i unknown ^[2]. Typy nie wykluczają się wzajemnie; ten sam sprawca może być jednocześnie rozgoryczonym pracownikiem i szpiegiem ^[2]. Osobny słownik opisuje poziom umiejętności, od „none” przez „minimal”, czyli script kiddie, do „strategic” ^[2].

STIX opisuje też motywację sprawcy, bo od niej zależą intensywność i wytrwałość ataku ^[2]. Słownik motywacji obejmuje między innymi ideologię, rozgłos, zysk organizacji, zysk osobisty, zemstę, przymus i działanie przypadkowe ^[2]. Specyfikacja podaje przykład: szpieg kierujący się ideologią ma cierpliwość, by działać po cichu latami, a cyberwandal szukający rozgłosu przeprowadza głośny atak, ale szybko traci zainteresowanie ^[2].

Microsoft dzieli sprawców na pięć kategorii i nadaje im nazwy związane z pogodą ^[4].

Do pierwszej kategorii należy grupa sponsorowana przez państwo (APT), do drugiej operatorzy ransomware i BEC ^[4]. Po stronie przestępczej działają też cyberprzestępcy, haktywiści i sprawcy wewnętrzni, czyli insider ^[2].

W WordPressie

Właściciel strony na WordPressie rzadko wie, kto dokładnie próbuje ją przejąć. Dokumentacja WordPressa zwraca uwagę na mechanizm, który czyni każdą niezałataną instalację celem: gdy w WordPressie zostaje wykryta podatność i wychodzi poprawiona wersja, informacje potrzebne do jej wykorzystania są niemal na pewno publicznie dostępne ^[7]. Starsze wersje stają się przez to łatwiejsze do zaatakowania ^[7]. Z tego samego powodu atakujący o minimalnych umiejętnościach, polegający według STIX na gotowych narzędziach ^[2], może skutecznie zaatakować zaniedbaną wtyczkę.

Rozróżnienie sprawców ma dla administratora znaczenie praktyczne. Według dokumentacji WordPressa wiele ataków na tę platformę prowadzą autonomicznie złośliwe boty ^[7]. Masowe skanowanie przez botnet wymaga przede wszystkim aktualizacji i utwardzania (hardening). Wtargnięcie ukierunkowane, na przykład na sklep z danymi kart, wymaga dodatkowo analizy logów i wskaźników kompromitacji (IoC) przypisanych konkretnej grupie. Dokumentacja WordPressa zaznacza, że logi pozwalają ustalić adres IP, czas i działania, które mógł wykonać atakujący ^[7].

Znaczenie

Nazwany sprawca porządkuje wiedzę o zagrożeniu. NIST SP 800-150 zalicza do informacji o zagrożeniach, którymi warto się dzielić, między innymi wskaźniki kompromitacji oraz taktyki, techniki i procedury stosowane przez threat actor ^[5]. Wymiana takich danych, na przykład w formacie STIX/TAXII, pozwala jednej organizacji skorzystać z obserwacji innej ^[5].

Nazwy nie są jednak jednolite. MITRE zaznacza, że część grup ma kilka nazw, bo różne organizacje śledzą podobną aktywność pod różnymi nazwami, a ich definicje mogą się tylko częściowo pokrywać ^[3]. Microsoft publikuje dlatego tabelę odpowiedników; na przykład grupa Midnight Blizzard występuje też jako NOBELIUM, COZY BEAR i APT29 ^[4].

Dobre praktyki

• Opisuj zdarzenie przez zachowanie sprawcy, a nie tylko przez jego nazwę. MITRE przypisuje grupom konkretne techniki z MITRE ATT&CK ^[3], co pozwala sprawdzić, czy własne zabezpieczenia wykrywają te techniki.
• Traktuj atrybucję jako hipotezę. Microsoft utrzymuje kategorię grup w rozwoju właśnie po to, by śledzić aktywność do chwili uzyskania wysokiej pewności co do jej pochodzenia ^[4].
• Dziel się wskaźnikami i opisem technik w ustalonych formatach, zgodnie z zasadami publikacji ustalonymi w organizacji ^[5].
• Nie zakładaj, że strona jest zbyt mała, by stać się celem. Publiczna dostępność informacji o podatnościach dotyczy wszystkich nieaktualnych instalacji ^[7].

Historia i przykłady

Sekurak 17 października 2025 roku opisał incydent w firmie F5, która poinformowała o ataku na swoją infrastrukturę wykrytym w sierpniu tego roku ^[6]. Według biura prasowego producenta za atakiem stał „highly sophisticated nation-state threat actor”, czyli grupa APT sponsorowana przez państwo ^[6]. Producent podał, że atakujący utrzymywał dostęp przez dłuższy czas i mógł pozyskać informacje o niepublikowanych podatnościach, kod źródłowy produktów oraz konfiguracje niektórych klientów ^[6]. Informację upubliczniono z opóźnieniem, na wniosek Departamentu Sprawiedliwości USA ^[6]. Przykład pokazuje typowy język komunikatów producentów: nazwa kategorii sprawcy pojawia się wcześniej niż szczegóły techniczne ataku.