Google cambia los nombres de los grupos de hackers para seguir mejor las amenazas

Google anunció un nuevo sistema de nombres para grupos de hackers con el objetivo de aclarar su identificación en ciberseguridad, en un escenario en el que la multiplicación de actores y etiquetas volvió más difícil seguir amenazas, compartir información y responder a ciberataques con rapidez.

La compañía rastrea más de 5.000 “clusters de actividad” en distintos países. Ese volumen ayuda a explicar por qué la empresa decidió reemplazar una nomenclatura que, con los años, se había vuelto difícil de seguir.

El cambio fue anunciado el mes pasado y sustituyó el antiguo sistema de nombres APT, sigla de Amenaza Persistente Avanzada, que utilizaba Mandiant, la firma de seguridad que ahora forma parte del grupo. El esquema anterior había derivado en una clasificación compleja para seguir a los distintos actores.

Durante más de una década, la industria de la ciberseguridad asignó nombres a grupos de hackers. Algunos, como Fancy Bear, alcanzaron notoriedad por ataques de alto perfil y por etiquetas fáciles de recordar; otros quedaron diluidos en un mapa cada vez más desordenado.

Ese desorden impulsó incluso la creación de recursos como el de Mitre, pensado como referencia única para profesionales de seguridad, funcionarios gubernamentales y el público en general. La decisión de Google apunta a ese mismo problema: hacer más comprensible quién es quién dentro del ecosistema de amenazas.

Cómo reemplazó Google el sistema APT con referencias al país de origen

El nuevo enfoque consiste en asignar a cada grupo un nombre aleatorio y memorable, acompañado por una palabra que remite a su país de origen. Los casos mencionados por la compañía son Castle para China, Ion para Irán, Neptune para Corea del Norte y Relic para Rusia.

Shane Huntley, director de tecnología de Google Threat Intelligence Group, explicó que el cambio buscó dar claridad tanto a los investigadores de seguridad de la empresa como a los externos.

Según dijo, cuando las compañías empezaron a publicar informes sobre ciberataques y a nombrar a los responsables, en la década de 2010, no preveían que el número de grupos crecería hasta el nivel actual.

Asimismo, Huntley sostuvo que poner nombre a estos actores no es un ejercicio académico. La meta, señaló, es construir una comprensión básica sobre quién ataca a quién y de qué manera, para que las organizaciones puedan reconocer amenazas con mayor rapidez, prepararse y, en última instancia, detenerlas o investigar los incidentes con más eficiencia.

Lo resumió así: “Si realmente te hackean o estás lidiando con algún incidente, conocer el comportamiento de ese actor, cuáles son sus objetivos y para quién trabajan se vuelve críticamente importante para ayudar en la respuesta y para determinar tu cobertura contra estas amenazas”.

De qué forma se distinguen los diferentes tipos de ciberdelincuentes

La compañía distingue entre tipos de actores. El seguimiento de hackers patrocinados por el Estado, aunque complejo, resulta más sencillo que el de grupos de ciberdelincuentes y hackers a sueldo.

La razón, indicó John Hultquist, analista jefe de Google Threat Intelligence Group, es que los actores gubernamentales suelen mantener objetivos y actividades más consistentes. En cambio, los grupos criminales cambian con mayor frecuencia: sus miembros entran y salen, a veces se fragmentan y presentan estructuras más difusas.

A eso se suma la dificultad que plantean los grupos de hackers por encargo y los fabricantes de spyware. Al trabajar para múltiples clientes en distintas partes del mundo, dejan rastros más dispersos y hacen más difícil atribuir operaciones de forma estable.

Huntley añadió que hoy hay muy pocas naciones desarrolladas que no cuenten con sus propias capacidades cibernéticas y con grupos de hackers. Ese contexto amplía el universo de actores que las empresas de seguridad deben seguir de manera simultánea.

Una objeción habitual ante cada nuevo sistema es por qué no todas las empresas y organizaciones usan los mismos nombres. La respuesta, según el directivo, es que cada compañía observa a estos grupos desde conjuntos de datos y telemetrías propios, por lo que termina construyendo una visión ligeramente distinta de cada actor.