La industria de la ciberseguridad ha enfrentado durante más de una década el desafío de clasificar y nombrar a los distintos grupos de hackers, creando una necesidad urgente de un sistema de nomenclatura más claro y accesible. Con nombres icónicos como «Fancy Bear» que han trascendido al ámbito público, la confusión persiste, incluso entre profesionales del sector, dado que cada empresa elige sus propios nombres para los grupos de amenazas. Esta situación ha llevado al desarrollo de recursos diseñados para unificar la información y brindar claridad a investigadores, funcionarios y al público.
Recientemente, Google ha reestructurado su sistema de nombres para grupos de hackers, abandonando el complicado etiquetado alfanumérico que había sido adoptado por Mandiant, una firma de ciberseguridad adquirida por la compañía. En lugar de utilizar denominaciones como APT1 o APT41, el nuevo enfoque es más accesible y memorable. Cada grupo ahora tendrá un primer nombre que lo identifique, seguido de una palabra cuyo inicial indica su país de origen: por ejemplo, «Castle» para China, «Ion» para Irán, «Neptune» para Corea del Norte y «Relic» para Rusia.
Según Shane Huntley, CTO del Google Threat Intelligence Group, esta renovación era esencial para proporcionar claridad tanto a los investigadores internos como a los externos. A medida que el panorama de las amenazas cibernéticas se ha expandido y diversificado, Google ha registrado más de 5,000 «clústeres de actividad» en múltiples países, lo que plantea un interesante reto, ya que casi todas las naciones desarrolladas poseen capacidades cibernéticas y grupos de hackers. Este vasto número ha hecho necesario un sistema que facilite el seguimiento y la identificación de los actores involucrados.
La Importancia de Nombrar Grupos de Hackers
A menudo se cuestiona la importancia de poner nombres a estos grupos. Para Huntley, no se trata solo de un ejercicio académico, sino de construir una comprensión fundamental sobre quién está atacando a quién y con qué métodos. Esta claridad permite a las organizaciones reconocer amenazas más rápidamente, prepararse para ellas y responder de manera efectiva en caso de un incidente de seguridad. La consistencia en el seguimiento y la nomenclatura es crucial para un manejo efectivo de los ciberataques.
Por ejemplo, conocer el comportamiento y los objetivos de un grupo como Lazarus, asociado al gobierno norcoreano, proporciona a los defensores una base sólida para desarrollar estrategias de defensa. Aunque rastrear a hackers patrocinados por Estados puede ser complicado, es más sencillo que seguir a grupos de cibercriminales, quienes operan de manera menos predecible y pueden fragmentarse fácilmente, dificultando su identificación y seguimiento.
Una crítica común cuando se introduce un nuevo sistema de nomenclatura es la pregunta de por qué no se adoptan codenames uniformes en todos los sectores. La realidad, según Huntley, es que cada organización tiene su propia perspectiva basada en datos y análisis únicos. Este fenómeno crea una diversidad natural en la forma de clasificar las amenazas, lo que dificulta la creación de un único estándar global.
La unificación del sistema de nombres de los grupos de amenazas de Google y Mandiant representa un paso hacia adelante en la resolución de este problema, facilitando a los investigadores y profesionales el trabajo de identificar y gestionar la amplia gama de actores en el ámbito cibernético. Sin embargo, como afirma Huntley, la visibilidad nunca será perfecta; cada grupo seguirá construyendo su modelo de entendimiento basado en la información disponible.