Google revoluciona los nombres de los hackers: adiós a los APT, hola a los apodos con pista geográfica
Google entierra el sistema numérico de Mandiant y estrena un esquema más intuitivo para identificar a los grupos de ciberataques según su país de origen. ¿Ayudará a inversores y empresas a entender mejor las amenazas?
Durante más de una década, la industria de la ciberseguridad ha bautizado a los grupos de hackers con nombres que van desde lo críptico (APT41) hasta lo mediático (Fancy Bear). El problema es que cada compañía usa su propio criterio, y ni los expertos logran memorizarlos todos. Para poner orden, Google acaba de renovar por completo su sistema de nomenclatura.
La antigua metodología de Mandiant —la firma de seguridad adquirida por Google y pionera en asignar etiquetas como APT1 o APT41— pasa a la historia. A partir de ahora, los grupos tendrán un primer nombre aleatorio y fácil de recordar, seguido de una segunda palabra cuya inicial delatará el país de origen: Castle para China, Ion para Irán, Neptune para Corea del Norte y Relic para Rusia.
Shane Huntley, director de tecnología del Google Threat Intelligence Group, explica que el cambio busca aportar claridad tanto a los investigadores internos como a los externos. Cuando en los años 2010 empezaron a publicarse informes de ciberataques, nadie esperaba rastrear a más de 5.000 "clústeres de actividad" en decenas de países. Hoy, según John Hultquist, analista jefe del mismo equipo, prácticamente todos los países desarrollados tienen capacidades cibernéticas ofensivas.
Pero poner nombre a los hackers no es un capricho académico. Huntley subraya que permite a las organizaciones reconocer amenazas más rápido, preparar defensas, detener ataques o investigar incidentes con mayor agilidad. Conocer el comportamiento histórico de un grupo —por ejemplo, los objetivos y métodos del famoso Lazarus Group norcoreano— da a los equipos de seguridad una ventaja crucial en la respuesta.
Huntley admite que rastrear a grupos patrocinados por estados es más sencillo que seguir a cibercriminales o hackers de alquiler, cuyos miembros entran y salen, se escinden y operan de forma más difusa. Aunque la crítica habitual es que todas las empresas deberían usar los mismos nombres, la realidad es que cada una tiene una visibilidad parcial basada en sus propios datos. Google unifica ahora sus dos esquemas internos, pero la lista completa de alias sigue siendo gigantesca.
El análisis de Salseo
- El nuevo sistema de Google simplifica la atribución de ciberataques, pero también revela una realidad incómoda para los inversores: la fragmentación de la inteligencia sobre amenazas sigue siendo enorme. Cada proveedor de seguridad ve una parte distinta del elefante, lo que dificulta comparar la eficacia de las soluciones de Alphabet frente a las de sus competidores.
- Al unificar los criterios de Mandiant y de su propio Threat Analysis Group, Google reduce la confusión interna y refuerza su división de ciberseguridad como un estándar de facto. Esto podría traducirse en una mayor adopción de sus servicios de inteligencia de amenazas, un segmento de alto margen dentro de Google Cloud.
- La mención de más de 5.000 clústeres de actividad y la omnipresencia de capacidades cibernéticas estatales subrayan que el gasto mundial en ciberseguridad seguirá creciendo de forma estructural. Para Alphabet, mantener una marca fuerte en este ámbito es clave para diversificar sus ingresos más allá de la publicidad.
- Conviene no pasar por alto el matiz: poner nombres más sencillos no hace que la atribución sea infalible. Huntley reconoce que nadie tiene visibilidad perfecta. Los inversores deben vigilar si esta simplificación ayuda realmente a acelerar la detección de brechas o si se queda en un ejercicio de marketing.