Google redefine cómo nombra a los grupos de hackers y su impacto en la ciberseguridad

Google implementó recientemente un nuevo sistema de nomenclatura para los grupos de hackers, buscando simplificar y clarificar la identificación de estos actores en el ámbito de la ciberseguridad. Esta decisión se produce en un contexto donde la industria ha visto un aumento significativo en el número de grupos de ciberamenazas.

Durante más de una década, el sector de la ciberseguridad ha asignado nombres a diferentes grupos de hackers. Algunos, como Fancy Bear, se han vuelto conocidos por sus ataques prominentes y nombres memorables, mientras que otros son menos conocidos. Este desorden en la nomenclatura ha llevado a la creación de recursos como el que se encuentra en Mitre, que busca ofrecer una referencia única para profesionales de la seguridad, funcionarios gubernamentales y el público en general.

El cambio en el sistema de nombres de Google se anunció el mes pasado y reemplaza el antiguo sistema de nombres APT (Amenaza Persistente Avanzada), que era utilizado por Mandiant, una firma de seguridad que ahora forma parte de Google. Este sistema anterior había resultado en una nomenclatura complicada que dificultaba el seguimiento de los grupos de hackers. El nuevo enfoque de Google consiste en asignar un nombre memorable y aleatorio a cada grupo de hackers, seguido de una palabra que indica su país de origen, como Castle para China, Ion para Irán, Neptune para Corea del Norte y Relic para Rusia.

Según Shane Huntley, director de tecnología del Google Threat Intelligence Group, este cambio fue necesario para proporcionar claridad tanto a los investigadores de seguridad dentro de la empresa como a los externos. En la década de 2010, cuando las empresas comenzaron a publicar informes sobre ciberataques y a nombrar a los hackers responsables, no se esperaba tener tantos grupos de amenazas como los que existen hoy.

Actualmente, Google rastrea más de 5,000 "clusters de actividad" en varios países, como indicó John Hultquist, analista jefe de Google Threat Intelligence Group. Según Huntley, hay muy pocas naciones desarrolladas que no tengan sus propias capacidades cibernéticas y grupos de hackers.

La importancia de nombrar a los grupos de hackers no es solo un ejercicio académico, explicó Huntley. El objetivo es tener una comprensión básica de quién está atacando a quién y cómo lo están haciendo. Esto permite a las organizaciones reconocer amenazas más rápidamente, prepararse para ellas y, en última instancia, detenerlas o al menos investigar los incidentes de manera más eficiente.

"Si realmente te hackean o estás lidiando con algún incidente, conocer el comportamiento de ese actor, cuáles son sus objetivos y para quién trabajan se vuelve críticamente importante para ayudar en la respuesta y también para determinar tu cobertura contra estas amenazas", afirmó Huntley.

El rastreo de hackers patrocinados por el estado, aunque desafiante, es más sencillo que el de grupos de ciberdelincuentes y hackers a sueldo. Los hackers gubernamentales suelen tener objetivos y actividades más consistentes, mientras que los grupos de ciberdelincuentes tienen miembros que van y vienen, a veces se dividen y son más amorfos. Los grupos de hackers a sueldo y los fabricantes de spyware suelen tener muchos clientes en diferentes partes del mundo, lo que los hace más difíciles de rastrear.

Una crítica común al anunciar un nuevo sistema de nomenclatura es: ¿por qué no todas las empresas y organizaciones utilizan los mismos nombres? Aunque parece una pregunta sencilla, la realidad es que cada empresa tiene una visión ligeramente diferente de cada grupo, basada en sus propios conjuntos de datos y telemetría. Huntley afirmó que esta es una realidad ineludible que no se puede evitar solo compartiendo más información entre empresas y grupos de investigadores.

"Nadie tiene visibilidad perfecta", dijo. "Estamos construyendo nuestro modelo y nuestra mejor comprensión, pero nunca sabremos todo lo que está sucediendo".

Con la unificación del esquema de nombres de la antigua Threat Analysis Group de Google y Mandiant, al menos ahora hay un esquema menos para recordar. Para todo lo demás, se puede consultar esta extensa lista.