Luna trecută, Google a devenit cea mai recentă companie care și-a revizuit sistemul de denumire pentru grupurile de hackeri. Au apus zilele în care foloseam etichete precum APT1, APT41 sau orice alt număr, sistem adoptat inițial de Mandiant, firma de securitate independentă care acum face parte din Google. Mandiant a fost prima care a introdus un astfel de sistem de nume. De acum înainte, sistemul Google este relativ simplu: un grup de hackeri va avea un prenume memorabil și aleatoriu, urmat de un al doilea cuvânt a cărui inițială indică țara de origine: Castle pentru China, Ion pentru Iran, Neptune pentru Coreea de Nord și Relic pentru Rusia.
Shane Huntley, directorul de tehnologie al Google Threat Intelligence Group, echipa internă de vânători de hackeri a companiei, explică faptul că această revizuire a fost necesară pentru a aduce claritate cercetătorilor în securitate, atât din interiorul companiei, cât și din afara ei. La începutul anilor 2010, când companiile au început să publice rapoarte despre atacurile cibernetice și să numească hackerii din spatele lor, „nu ne așteptam să avem atât de multe grupuri de amenințare câte avem astăzi”, a declarat Huntley pentru TechCrunch. A devenit greu să ții evidența tuturor. Google urmărește acum peste 5.000 de „clustere de activitate” în mai multe țări, potrivit lui John Hultquist, analist șef la Google Threat Intelligence Group. Huntley subliniază că sunt foarte puține națiuni dezvoltate care nu au propriile capacități cibernetice și grupuri de hackeri.
Dar care este scopul numirii grupurilor de hackeri? Nu este doar un exercițiu academic, explică Huntley. Scopul este de a avea o înțelegere de bază a cine atacă pe cine și cum o face. Astfel, organizațiile pot recunoaște amenințările mai rapid, se pot pregăti împotriva lor, ideal le pot opri sau, cel puțin, pot investiga incidentele mai prompt. Toate acestea, spune el, sunt posibile doar dacă numești hackerii și îi urmărești în mod consecvent. „Dacă ești într-adevăr atacat de ei sau te confrunți cu un incident, cunoașterea modului în care se comportă acel actor, ce face, ce a făcut în trecut – toate aceste detalii devin extrem de importante pentru a ajuta la răspuns și pentru a-ți construi apărarea împotriva acestor amenințări”, a spus Huntley. De exemplu, știind cum se comportă grupul de hackeri nord-coreeni cunoscut sub numele de Lazarus Group, care sunt de obicei obiectivele lor și pentru cine lucrează, oferă apărătorilor un punct de plecare în gestionarea acestor atacuri.
Urmărirea hackerilor sponsorizați de stat, deși provocatoare, este mai ușoară decât urmărirea grupurilor de criminalitate cibernetică și a hackerilor plătiți, explică Huntley. Hackerii guvernamentali tind să aibă ținte și activități mai consistente, în timp ce grupurile de criminalitate cibernetică au membri care vin și pleacă, uneori se divizează, iar în rest sunt mai amorfe. Grupurile de hackeri pentru angajare și producătorii de spyware tind să aibă mulți clienți în diferite părți ale lumii, ceea ce le face puțin mai greu de urmărit.
O critică frecventă ori de câte ori este anunțat un nou sistem de numire este: de ce nu folosesc toate companiile și organizațiile aceleași nume de cod? Deși pare o întrebare ușor de răspuns, realitatea este că fiecare companie are o perspectivă ușor diferită asupra fiecărui grup, bazată pe propriile seturi de date și telemetrie. Huntley spune că aceasta este o realitate inevitabilă care nu poate fi evitată doar prin partajarea mai multor informații între companii și grupuri de cercetători. „Nimeni nu are vizibilitate perfectă”, a spus el. „Ne construim modelul și cea mai bună înțelegere, dar nu vom ști niciodată totul despre ceea ce se întâmplă.”
Unificarea schemei de numire a vechiului Threat Analysis Group (TAG) al Google, care a fost integrat în noul sistem, reprezintă un pas important spre o mai bună colaborare în domeniul securității cibernetice. Dar, dincolo de aspectele tehnice, această schimbare reflectă o evoluție mai amplă a modului în care înțelegem și combatem amenințările cibernetice. Într-o lume în care atacurile devin din ce în ce mai sofisticate și mai frecvente, a avea un limbaj comun pentru a descrie actorii rău intenționați nu este doar un moft, ci o necesitate strategică.
Pe măsură ce Google își consolidează poziția de lider în securitate cibernetică, noul sistem de numire ar putea deveni un standard de facto în industrie. Rămâne de văzut dacă și alte companii vor adopta aceeași abordare sau dacă vor continua să folosească propriile lor scheme. Cert este că, pentru moment, cercetătorii și analiștii au un instrument mai clar pentru a naviga în peisajul amenințărilor cibernetice, iar asta nu poate fi decât un lucru bun.
De ce este important:
Această schimbare nu este doar o chestiune de nomenclatură. Ea are implicații practice majore pentru securitatea cibernetică globală. Un sistem de numire unificat și intuitiv permite o comunicare mai eficientă între echipele de apărare, guverne și organizații private, reducând confuzia și accelerând răspunsul la incidente. În plus, prin evidențierea originii geografice a grupurilor, se conturează mai clar harta amenințărilor, facilitând alocarea resurselor și dezvoltarea de strategii proactive. Într-o eră în care atacurile cibernetice pot afecta infrastructuri critice, economii și vieți, claritatea în identificarea adversarilor nu mai este un lux, ci o componentă esențială a rezilienței cibernetice.
