En bref
- Google simplifie les noms de ses groupes de hackers pour mieux identifier les menaces et faciliter la défense.
- Le nouveau système associe des noms mémorisables à l’origine supposée des groupes, remplaçant les anciens codes comme APT1 ou APT41.
- Une nomenclature unique reste difficile, car chaque entreprise dispose de données et d’une visibilité différentes sur les cyberattaquants.
Quand une entreprise se fait attaquer, savoir qui est en face change tout. Pas pour faire joli dans un rapport, mais pour comprendre les méthodes, les cibles et les réflexes d’un groupe. C’est précisément pour ça qu’Google a décidé de revoir le nom de ses groupes de hackers suivis en interne. Et franchement, vu le capharnaüm actuel, ce n’est pas du luxe.
Nommer, ce n’est pas du folklore
Pour Shane Huntley, CTO du Google Threat Intelligence Group, mettre un nom sur un acteur permet d’avoir une base commune pour savoir qui attaque qui, et comment. Ensuite, les organisations peuvent reconnaître une menace plus vite, s’y préparer, la bloquer si possible, ou au moins enquêter plus tôt. Résultat, le nom devient un outil de défense, pas une coquetterie d’analyste.
Il l’explique assez simplement. Si vous êtes visé par un groupe, connaître son comportement, ce qu’il a déjà fait et ses habitudes devient crucial pour la réponse à incident. L’exemple le plus parlant reste Lazarus Group, lié à la Corée du Nord : savoir comment ce groupe opère, ses objectifs et ses commanditaires donne un point de départ solide aux défenseurs.
Google simplifie enfin son propre bazar
Chez Google, les vieux noms du type APT1, APT41 et compagnie passent à la trappe. Ce système venait de Mandiant, société de sécurité devenue une brique du groupe, et pionnière du genre. Sauf qu’avec le temps, ces étiquettes numérotées sont devenues illisibles pour pas mal de monde, y compris dans le milieu.
La nouvelle logique est plus simple. Un groupe reçoit un prénom aléatoire et mémorisable, suivi d’un second mot dont l’initiale indique le pays d’origine supposé. Google cite Castle pour la Chine, Ion pour l’Iran, Neptune pour la Corée du Nord et Relic pour la Russie. En gros, moins de jargon, plus de repères.
Pourquoi tout le monde n’utilise pas les mêmes noms ?
La critique revient à chaque fois. Pourquoi les boîtes de cybersécurité ne se mettent-elles pas d’accord sur un seul système ? L’idée semble évidente, mais elle bute sur un problème très terre à terre : chaque acteur voit les groupes à travers ses propres données et sa propre télémétrie.
Shane Huntley résume ça avec une formule nette : « Personne n’a une visibilité parfaite ». Et il ajoute, en substance, que Google construit son meilleur modèle possible, sans jamais prétendre tout savoir de ce qui se passe. Bref, l’unification totale fait joli sur le papier, beaucoup moins dans le réel.
Le vrai casse-tête n’est pas toujours là où on croit
Au passage, l’ampleur du sujet donne le tournis. Google suit aujourd’hui plus de 5000 clusters d’activité dans plusieurs pays, selon John Hultquist, analyste en chef du Google Threat Intelligence Group. Shane Huntley rappelle d’ailleurs qu’il existe très peu de pays développés sans capacités cyber propres.
Et tous les groupes ne se suivent pas de la même façon. Les acteurs soutenus par des États sont souvent plus cohérents dans leurs cibles et leurs opérations. Les groupes criminels, eux, bougent sans arrêt, se scindent, changent de membres. Quant aux hackers mercenaires et aux éditeurs de spyware, avec des clients disséminés un peu partout, ils sont encore plus pénibles à cartographier. Du coup, si Google peut au moins réduire d’un cran la confusion chez lui, c’est déjà une petite victoire.
