アトリビューションとは？サイバーセキュリティにおける意味や重要性を解説

サイバーセキュリティの文脈における「アトリビューション」とは、サイバー攻撃などの悪意ある活動について、その実行者や背後にいる組織などを特定／推定する取り組みのことを指します。本記事では、アトリビューションが重要な理由や具体的な分析対象、アトリビューションの一般的なプロセス、実務での活用例や注意点などについて解説します。

アトリビューションとは

「アトリビューション（attribution）」とは、何らかの事象を特定の主体に帰属させる行為を指します。サイバーセキュリティの文脈においては、サイバー攻撃をはじめとする悪意ある活動について、その実行者や背後にいる組織、支援者などを特定／推定し、関連性を評価する取り組みがアトリビューションと呼ばれます。サイバー攻撃などの活動と、特定の個人やグループ、あるいは国家との関連性を分析し、「誰がその活動に関与しているのか」を評価します。

元の英単語「attribution」には、「帰属」「特定」といった意味があります。この意味の通り、サイバー脅威を特定の主体に結び付け、その関連性を明らかにしようとする取り組みがアトリビューションです。

ただし、サイバー攻撃の実行者や背後にいる主体を確実に特定できるとは限りません。そのため、分析結果について「高い確度」「低い確度」などの確度（Confidence Level）を示し、100%の断定ではなく「評価」として提示することもあります。

なお、アトリビューションは単なる「犯人探し」ではありません。悪意ある活動のパターンや振る舞い、攻撃インフラ、デジタルな痕跡を分析した上で、「誰が攻撃を行っているのか」に加え、「どのような風な手口を使い、何の目的で攻撃しているのか」「攻撃者はこれまでにどのような活動に関与してきたのか」といった問いへの答えを見つけることも、アトリビューションにおいて重要となります。組織や企業のセキュリティチームはこうした情報を、今後起こり得る攻撃の予測やセキュリティ対策の改善などに活用することができます。

アトリビューションでは何を特定するのか

アトリビューションでは、主にサイバー攻撃などの活動に関与した主体を特定または推定します。ただし、殺人や窃盗などの物理的な犯罪の捜査のように、実行者を個人として特定することを常に目指すものではなく、実行者を実名で特定できるとは限りません。「APT41による攻撃と思われる」「A国政府の関与が疑われる」など、脅威アクター名や国家との関連性を評価する場合もあるほか、実行者の詳細までは判明せず、過去に観測された攻撃キャンペーンとの関連付けのみにとどまるケースもあります。

アトリビューションにおける主な帰属先の例は、以下の通りです。

• 脅威アクター名：「FIN7」「Storm-1175」「Lazarus」「Akiraランサムウェアグループ」など、脅威アクター名やグループ名単位で活動の帰属を評価
• 企業・組織：特定の企業や犯罪組織、国家機関などが攻撃に関与しているとする評価
• 国家：特定の国家がサイバー攻撃を実行、支援、または指示したとする評価
• 実在する人物：ネット上で使用されるハンドルネームや攻撃活動を、実在する特定の人物と結び付けるなどの評価

このように、帰属先のレベルはさまざまですが、脅威アクター名と特定の国家がセットで攻撃の帰属先と評価されるケースもあるなど、同じ攻撃について複数のレベルで帰属評価が行われる場合もあります。

誰がアトリビューションを行うのか

アトリビューションを行う代表的な主体は、セキュリティベンダーや脅威リサーチチームなどの専門家集団です。ほかにも、以下のような組織によってアトリビューションが実施されています。

• 政府機関・情報機関・法執行機関
• 独立系セキュリティ研究者や記者
• CERT／CSIRT、ISACなどの情報共有・分析組織
• 一般企業の社内チーム（CTIチーム、CSIRT、SOCなど）

各主体によって保有する情報や分析ツール、アトリビューション目的は異なるため、アトリビューションできる分析の範囲や深さにも差があります。

例えば、セキュリティベンダーや脅威リサーチチームは、複数の顧客環境や独自の調査活動から得られた脅威情報を横断的に分析し、攻撃キャンペーンの関連付けや未知の脅威アクターの追跡などを行う場合があります。

一方でセキュリティを専業とするわけではない一般企業の社内チームの場合、セキュリティベンダーのレポートなど外部から得られた脅威インテリジェンスと、自社で観測された情報を組み合わせ、既知の脅威アクターやキャンペーンとの関連性を評価するといったケースが考えられます。

アトリビューションが重要な理由

アトリビューションが重要となるのは、脅威アクターについて理解したり、将来の攻撃に備えたりする上で有用な情報や知見が入手できる可能性があるためです。

脅威アクターの目的や能力を理解できる

まず、アトリビューションが重要視される理由の1つは、脅威アクターの目的や能力を理解する上で役立つ情報が得られるからです。

アトリビューションによって攻撃への関与が疑われる脅威アクターを把握できれば、これまでに蓄積されてきたそのアクターに関する脅威インテリジェンスを参照し、目的や能力、活動傾向などへの理解を深めることができます。

＜アトリビューション情報と、関連する脅威インテリジェンスから把握できる内容の例＞

• 脅威アクターの目的・動機（例：金銭獲得、スパイ・偵察、妨害、報復など）
• 脅威アクターの攻撃能力（例：独自のマルウェア開発能力、脆弱性の悪用能力、長期的な潜伏能力など）
• 脅威アクターが過去に使用したTTP
• 脅威アクターが標的とする業界や地域、組織の傾向

など

脅威アクターらは、金銭獲得、スパイ活動、事業の妨害などさまざまな目的でサイバー活動を行っています。そして目的が何かや能力がどの程度かによって手口や標的の傾向は異なる場合があり、防御側が優先的に講じるべき対策にも違いが出てきます。このため、上記のような情報は自組織にとって最も警戒すべき脅威が何なのかを把握し、セキュリティ対策の優先順位を検討する際などに役立ちます。

関連記事：誰がサイバー攻撃を仕掛けるのか？　日本を狙う11の主な攻撃グループ

今後の攻撃を予測する材料になる

攻撃への関与が疑われる脅威アクターの過去のTTPや標的選定の傾向などは、今後どのような攻撃が実施されそうかを予想する上で判断材料になる場合があります。

例えば、ある企業への不審なアクセスを調査した結果、過去にVPN機器の脆弱性を悪用して企業ネットワークへ侵入していた脅威アクターとの関連性が指摘されたとします。企業はこの評価に基づき、当該アクターがこれまでに悪用したことのある脆弱性や侵入後の活動などを参考にして、自社環境で警戒すべき攻撃手法が何なのかを検討することができます。

また、例えば過去に特定の業界を繰り返し標的としてきた脅威アクターが、最近になって日本国内でも活動を活発化させていることが確認された場合、その業界に属する日本企業は、自社も標的となる可能性を考慮して監視や対策を強化するといった判断を下すことができます。

もちろん、脅威アクターが必ずしも常に同じ手口を使用したり、同じ業界を狙い続けたりするとは限らず、アトリビューションによって将来の攻撃を100%正確に予測できるわけではありません。それでも、特定された攻撃者の過去の活動や傾向を把握することは、今後生じ得る脅威を想定し、事前に対策を検討・実施する上で有用です。

このように、アトリビューションでは「誰が攻撃を実施したのか」を知ることにとどまらず、その情報を基に今後起こり得る脅威を理解し、対策に役立てることが重要になります。

アトリビューションができない場合の課題

アトリビューションには上記のような利点がある一方、攻撃主体を十分に特定・推定できない場合には、以下のような課題が生じる可能性があります。

• 対象となる攻撃活動と、既知の脅威アクターに関するインテリジェンスとを結び付けにくくなる（逆に、攻撃への関与が疑われるアクターが判明していれば、そのアクターに関するインテリジェンスを収集し、今回の攻撃の分析や対策に活用することができる）
• 攻撃者の目的や能力、今後予想される行動を評価するための情報が限られてしまう
• 攻撃者の活動傾向を踏まえた防御策や監視の優先順位付けが難しくなる場合がある

ただし、アトリビューションができなければ防御自体ができないというわけではありません。攻撃主体が不明でも、IoCや脆弱性情報、観測されたTTPなどに基づいてセキュリティ対策を講じることは可能です。

これらに加えてアトリビューション情報を活用することにより、攻撃者の目的や行動傾向を踏まえた、よりプロアクティブなセキュリティ対策につなげることができます。

関連記事：プロアクティブなサイバーセキュリティとは？インテリジェンスを活用して攻撃に備えるアプローチを解説

アトリビューションにおける分析対象

アトリビューションでは、主に以下のような情報が分析材料として用いられます。このうちいずれか1つだけを選ぶのではなく、複数の情報を組み合わせて総合的に評価されます。

• TTP
• マルウェアや攻撃ツール
• 攻撃インフラ
• 標的や活動の特徴

など

それぞれについて、詳しく見ていきましょう。

TTP

MITRE ATT&CKなどを利用し、観測されたTTPと過去の攻撃で使用されたTTPの比較を行います。脅威アクターは異なる複数の活動で類似した手口や行動パターンを繰り返し採用する場合があるため、TTPは各アクターを区別したり、異なる攻撃活動同士を関連付けたりするための判断材料の1つとして活用できます。

例えば、インシデントの調査を行う中で、侵入方法や権限昇格、データ窃取などに使用された一連の手口が明らかになったとしましょう。それらの手口を既知の脅威アクターのTTPと照らし合わせることによって、過去の攻撃キャンペーンや特定の攻撃グループとの結び付きが見えてくる可能性があります。

攻撃する側にとって、TTPはIPアドレスやドメインなどのIoCよりも変更のハードルが高い場合があることから、特定の脅威アクターを追跡する際に有用な情報となります。ただし、異なるアクターが同じTTPを使用することもあるため、TTPが一致することのみを根拠として攻撃主体を断定することはできません。

関連記事：

⇨TTP（戦術・技術・手順）とは？意味や活用方法、ATT&CKとの関係性などを具体例と併せて解説

⇨MITRE ATT&CKとは？概要や活用事例などを概説

マルウェアや攻撃ツール

マルウェアや攻撃ツール、またその技術的な特徴も、アトリビューションの重要な手がかりとなります。これには、例えば以下のようなものが含まれます。

• 使用されるマルウェアや独自開発されたツール、オープンソースツール
• コード上の特徴や類似性
• プログラミング言語や使用されたソフトウェアライブラリ
• コンパイル時のタイムスタンプやPDBパスなど、開発・ビルド環境に関する情報
• マルウェアの設定情報や通信方式、暗号化処理などの特徴

など

こうした情報を分析し、過去に確認されたマルウェアや攻撃ツールとの共通点を調べることで、関連する攻撃キャンペーンや脅威アクターを推定できる場合があります。

ただし、同じマルウェアやツールが複数の脅威アクターによって使用されることもあるため、その他の分析結果とも組み合わせて評価することが重要です。

攻撃インフラ

攻撃者の使用するIPアドレスやドメイン登録情報、ホスティングサービス、C2サーバーなどの攻撃インフラも、アトリビューションにおける分析対象です。

こうした情報を分析し、複数のインシデント間で共通するインフラや、その構築・運用方法のパターンを見出すことができれば、一見無関係に思える攻撃活動の関連性を明らかにできる場合があります。

ただし、攻撃者は自身の身元を隠すために第三者のサーバーや匿名化サービスなどを悪用することがあります。また、同じインフラが複数の脅威アクターによって共有される場合もあるため、インフラ情報だけで攻撃主体を特定できるとは限らない点には留意しておく必要があります。

標的や活動の特徴

攻撃対象や活動上のパターンも、アトリビューション時に使われる手がかりの1つです。例えば以下のような情報は、攻撃者の活動傾向や地政学的背景などを理解する上で役立つ場合があります。

• 標的となる国・地域・業界
• 攻撃が行われる時間帯や曜日
• マルウェアや攻撃関連のファイル、メッセージなどで使用される言語
• 攻撃の目的や狙われる情報・資産

など

ただし、こうした特徴は異なる脅威アクター間で共通する場合や、意図的に偽装される場合もあります。そのため、単一の特徴だけで攻撃者の国籍や活動拠点などを断定できるわけではありません。

アトリビューションはどのように行われる？一般的なプロセス

アトリビューションに用いられる手法や分析プロセスは、セキュリティベンダーや脅威リサーチチームなどの各組織によって異なります。すべての組織に共通する単一の手順が存在するわけではありませんが、一般的な流れは以下の通りです。

なお、実際の分析では、各段階を行き来しながら情報収集や仮説の検証を繰り返す場合もあります。

1. 攻撃に関する情報を収集する

まずは、攻撃に関する情報を収集することが出発点となります。これには実際のインシデント調査から得られた情報やテレメトリデータ、マルウェアの解析結果、OSINT調査の結果、外部のセキュリティベンダーなどが提供する脅威インテリジェンスなどが含まれます。

関連記事：OSINTとは？活用例やテクニック、ツール、注意すべき点を解説

2. 攻撃の特徴を分析する

収集した情報を基に、攻撃で使用されたTTPやマルウェア・ツール、攻撃インフラ、標的のパターンなどを分析し、攻撃活動の特徴を整理します。

3. 過去の活動と比較・関連付けする

分析結果を基に、既知の攻撃キャンペーン／脅威アクターとの共通点や相違点を調べます。

具体的には、公開されている脅威レポートや有償の脅威インテリジェンスフィード、ソーシャルメディア、ダークウェブなどから得られた情報と照らし合わせ、例えば以下のような問いへの回答を探ります。

• 今回確認されたマルウェアは、過去に別の組織や業界を標的とする攻撃でも使用されていたか？
• 同様のTTPや攻撃インフラが、過去の攻撃キャンペーンで確認されていないか？
• 今回の攻撃について、ネット上で関与を主張している脅威アクターはいないか？
• 公開されている脅威レポートに、同様のIoCが記載されていないか？

など

こうした照合を通じて、今回の攻撃と過去の活動との関連性を評価します。

関連記事：

⇨ダークウェブとは？何が行われている？仕組みから最新動向まで

⇨ダークウェブモニタリングとは？調査の必要性や活用領域、方法などについて解説

4. 複数の証拠から仮説を評価する

これまでの分析結果を基に、「今回の攻撃は脅威アクターAによるものではないか」などの仮説を立て、複数の証拠を組み合わせて検証します。

この際、仮説を裏付ける証拠だけでなく、矛盾する情報や別の可能性についても検討することが重要です。

例えば、ある攻撃で既知の脅威アクターが使用していたマルウェアが確認されたとしても、前述したように、別のアクターが同じマルウェアを利用した可能性もあります。そのため、TTPや攻撃インフラ、標的の傾向など、ほかの情報も踏まえて仮説の妥当性を評価することが求められます。

5. 可能性と確度を示して評価する

最後に、収集した証拠の信頼性や、分析結果の整合性、ほかの仮説の可能性などを踏まえ、アトリビューションの評価をまとめます。

この際、結論が成立する「可能性（Probability）」と、その判断を支える情報や分析への「確度（Confidence Level）」を区別して示すことが重要です。「今回の攻撃は、脅威アクターAによるものである可能性が高い」は、アトリビューションに関する結論が正しい見込みを表します。一方、「この評価の確度は中程度である」は、その判断を支える根拠や分析への確信の程度を表します。

確度は、情報の質や量、情報源の信頼性、分析の妥当性、残された不確実性などを踏まえて評価します。例えば、次のように可能性と確度を併記することが考えられます。

【判断】本件侵入は、脅威アクターAによるものである可能性が高い（likely）と評価する。

【確度】この評価の確度は中程度（Moderate Confidence）である。

【蓋然性（Probability）の根拠】 侵入で使われたマルウェアXには独自の暗号化ルーチンが実装されている。このルーチンは、過去にAに帰属された3件のキャンペーンでのみ観測されている。C2ドメインの登録パターン（特定レジストラ、命名規則、登録から使用までの期間）も、Aの既知インフラと一致する。さらに、標的（国内製造業の設計部門）はAの過去の標的選定傾向と合致する。

【確度の根拠】 評価は、自社のテレメトリと、セキュリティベンダー1社の公開レポートに依拠している。独立した第三者による裏付けはまだない。マルウェアXがA以外のアクターと共有されている可能性は排除できていない。また侵入初期（約2週間分）のログが保存期間切れで失われており、初期侵入経路は確認できていない。

アトリビューション情報の実務での活用

アトリビューションの結果は、サイバーセキュリティの実務において以下のような形で活用されています。

脅威インテリジェンス

アトリビューションで得られた情報は、自組織にとってどの脅威アクターが重要なのかを把握し、脅威評価などを行う際に利用されます。

例えば、自組織が属する業界を標的とする脅威アクターが特定された場合、そのアクターの目的や能力、過去のTTP、活動傾向などに関する脅威インテリジェンスを収集・分析することで、自組織にどんなリスクが及び得るのかを評価できます。こうした評価結果は、セキュリティ対策や監視の優先順位を決定する際の意思決定に役立てることができます。

※インテリジェンスの詳しい解説については、以下の記事もご覧ください。

⇨脅威インテリジェンスとは？種類や必要性をわかりやすく解説

⇨脅威インテリジェンスの国内における活用例と活用のヒント

⇨「サイバーインテリジェンス」と「脅威インテリジェンス」の違いとは？

脅威ハンティング・検知

アトリビューション情報は、脅威ハンティングや脅威検知にも活用されます。

例えば、特定の攻撃への関与の可能性が明らかになった脅威アクターの既知のTTPを基に、自組織内で同様の活動が行われた痕跡がないかを調査するなどの活用例が想定されます。

また、アトリビューション情報から得られた攻撃者のTTPやIoCなどを参考に、SIEMやEDRの検知ルールを新たに作成したり、既存のルールを改善したりといった活用方法も考えられます。

関連記事：

⇨脅威ハンティングとは？意味や種類、プロセスから脅威インテリジェンスとの違いや関係性まで解説

⇨EDRは必要？アンチウイルスやEPPとの違い、運用コストは？

インシデント対応

アトリビューション情報は、インシデント対応においても役立つ場合があります。

例えば、攻撃への関与が疑われる脅威アクターの既知のTTPや活動目的などを参考に、追加で調査すべきシステムや不審な挙動を検討したり、攻撃者が次に取る可能性のある行動を想定したりすることができます。

こうした情報を活用することで、侵害範囲の調査や被害拡大の防止に向けた対応を支援することが可能です。

アトリビューションに関する注意点

アトリビューション情報はサイバーセキュリティ活動において有用である一方、必ずしも100%正確な情報とは限らないなどの注意点もいくつか存在します。

＜アトリビューションに関する主な注意点＞

• ある程度の不確実性が伴う
• 攻撃者が意図的に痕跡を偽装することがある
• ツールやインフラは複数の攻撃者によって共有・再利用されることがある
• アクター名はベンダーにより異なる場合がある
• アトリビューションは変化することがある

アトリビューションには不確実性が伴う

アトリビューションの多くは、100%間違いないという「断定」ではなく、低・中・高などの確度を伴う「評価」として示されます。

これは、攻撃者の身元や関与を特定するための証拠が必ずしも十分に得られるとは限らないためです。たとえ確度の高い評価であっても、必ずしも完全に確定した事実を意味するわけではありません。

したがって、アトリビューション情報を活用する際には、評価の確度や根拠となる証拠、不確実性などを考慮することが重要です。

攻撃者が意図的に痕跡を偽装することがある

サイバー攻撃者は、自らを追跡するインテリジェンスアナリストや脅威リサーチャーを欺くため、意図的に虚偽の痕跡を残す場合があります。

その事例の1つに、北朝鮮との関連が指摘されているグループ「Lazarus」によるものが挙げられます。2017年、セキュリティ企業BAE Systemsの研究者は、同グループに関連付けられた攻撃で使用されたマルウェアに、不自然な形でロシア語が使われていたことを報告しました。研究者は、これらの単語は攻撃者の出自を偽装するために使用された可能性が高いと評価しています。

攻撃主体を誤認させる目的で偽の痕跡を残すこのような手法は、「False Flag（偽旗）」と呼ばれます。

こうした手法が存在することを踏まえ、アトリビューションでは観測された痕跡をそのまま攻撃者の身元を示す証拠と捉えるのではなく、意図的な偽装の可能性も考慮することが重要になります。

ツールやインフラが共有・再利用されることがある

マルウェアや攻撃ツール、攻撃インフラの中には、複数のアクターによって共有・再利用されるものもあります。

例えば、「SPAWNCHIMERA」と呼ばれるマルウェアツールキットは、中国との繋がりが指摘される複数のグループによって使われていると報告されています。

こうしたケースがあることから、「同じマルウェアを使っているから同じアクターである」とは限らない点に注意が必要です。

アクター名はベンダーにより異なる場合がある

一般企業がセキュリティベンダーなどのアトリビューション情報を見る際に注意すべきなのが、脅威アクター名は各ベンダーによって異なる場合があるという点です。同じ攻撃グループを指していても、A社とB社では違う呼称を使っている場合があります。

例えば、Microsoftが「Twill Typhoon」として追跡しているグループは、CrowdStrikeが「Mustang Panda」と呼称しているグループと同一、または近い活動主体であると考えられています。このように、1つのグループに対して異なる複数の名称が使われることは少なくありません。

なお、各ベンダーはそれぞれ独自の情報や分析基準に基づいて脅威アクターを分類しているため、異なる名称が必ずしも完全に同じグループや同じ活動範囲を指すとは限らない点に注意しておく必要があります。

アトリビューションは変化することがある

新たな証拠が見つかるなどして、過去の評価が変更される場合があることにも注意が必要です。

例えば、当初は脅威アクターAによるものと考えられていた攻撃について、その後の調査で別のアクターとの関連性を示す証拠が見つかり、帰属評価が見直されるケースなどが考えられます。

また、脅威アクターの分類自体が変更されることもあります。例えば、Lazarusは当初、1つのグループまたはいくつかの小規模グループによる活動群として追跡されていました。しかしその後の調査・分析の進展に伴い、Lazarusという名称が指す活動の範囲は広がり、現在では単一の脅威アクターではなく、複数のサブグループを含む広い概念として扱われるようになっています。

このように、アトリビューションは一度評価されたら終わりというわけではなく、新たな情報に基づいて継続的に見直されていきます。

技術的アトリビューションとパブリックアトリビューション

ここまで説明してきたアトリビューションは、主に技術的な証拠や観測情報などを基に攻撃主体を推定する「技術的アトリビューション」に関するものです。

一方、政府などがサイバー攻撃の実行主体やその背後にある組織・国家との関係について公表する「パブリックアトリビューション」という取り組みもあります。

ただし両者は対立する概念ではなく、技術的な分析結果がパブリックアトリビューションの判断材料となるなど、密接に関連しています。

ここでは、パブリックアトリビューションについても簡潔に紹介します。

技術的アトリビューションとは

まず技術的アトリビューションとは上述の通り、攻撃者が残したデジタルな痕跡や観測情報などを分析し、サイバー攻撃や関連する活動を特定の脅威アクターなどに結び付ける取り組みです。

具体的には、マルウェアや攻撃ツールの特徴、TTP、攻撃インフラ、標的選定の傾向などを分析し、過去の活動との共通点や相違点を調べます。

技術的アトリビューションは、脅威インテリジェンスやインシデント調査・対応などの分野と密接に関連しており、攻撃活動を既知の脅威グループと関連付けたり、複数の攻撃キャンペーンの関係性を明らかにしたりする際に活用されます。

パブリックアトリビューションとは

一方でパブリックアトリビューションとは、政府などがサイバー攻撃の実行主体やその背後にある組織・国家との関係について、公表する取り組みです。攻撃主体を公に名指しし、非難することによる抑止のほか、注意喚起や被害防止、国際的な連携などを目的として実施されます。

パブリックアトリビューションでは、技術的な分析結果に加えて、政府や法執行機関などが保有する非公開情報が判断材料となる場合もあります。また、国家や国家機関、国家との関連が指摘される脅威グループなどが名指しされることがあり、外交・安全保障上の意味合いが強い点も特徴です。場合によっては、制裁措置や刑事訴追などの対応と関連することもあります。

なお、セキュリティベンダーが特定国の関与を指摘することもありますが、パブリックアトリビューションという用語は、政府による公式な帰属評価を指す文脈で使用されるのが一般的です。

日本もパブリックアトリビューションを実施

日本も、各国とともにパブリックアトリビューションを行っています。例えば2026年9月18日、警察庁と国家サイバー統括室は、米国、オーストラリア、ドイツとともに、北朝鮮を背景とするサイバー攻撃グループ「WaterPlum」および北朝鮮IT労働者の活動実態に関する文書を合同で公表しました。

この中で、WaterPlumによるIT技術者を標的としたサイバー攻撃や、北朝鮮IT労働者による外貨獲得活動などの実態を明らかにしています。警察庁とFBIは、WaterPlumおよび一部の北朝鮮IT労働者が、朝鮮労働党中央委員会軍需工業部313総局の指揮下で運用されていると評価しています。

警察庁と国家サイバー統括室は、こうした活動について国内外に注意喚起を行うことが、サイバー安全保障の強化や国際連携の促進につながると説明しています。

このように、パブリックアトリビューションは、攻撃主体を公に名指しすることで抑止を図るだけでなく、脅威に関する注意喚起や被害防止、国際協力の促進といった役割も果たす場合があります。

（参考：警察庁「北朝鮮サイバー攻撃グループ『WaterPlum』（ウォータープラム）及び北朝鮮 IT 労働者に関する我が国、米国、豪州及びドイツによるパブリック・アトリビューションについて」）

関連記事：地政学的リスクに起因するサイバー攻撃とは？具体例やインテリジェンスを活用した対策などについて解説

最後に

このように、アトリビューションは単なる「犯人探し」ではなく、観測されたサイバー活動の痕跡やパターンなどを分析し、攻撃主体や過去の攻撃活動との関連性を明らかにするための取り組みです。脅威アクターの目的や能力、TTPなどへの理解を深める上でも重要な役割を果たします。

ただし、アトリビューションは確定的な事実であるとは限らず、確度を伴う「評価」として示されることが多い点や、新たな証拠などによって将来的に評価が変化する可能性もある点などには注意が必要です。

こうした不確実性を考慮して適切に活用することで、アトリビューション情報は脅威インテリジェンスや脅威ハンティング、インシデント対応などにおける重要な意思決定の材料となります。

株式会社マキナレコードでは、アトリビューションでも活用されるOSINTに特化したツールや、ダークウェブ・ディープウェブに強いインテリジェンスサービスなどを提供しています。詳しくはホームページをご覧いただくか、以下のボタンよりお気軽に資料をご請求ください。