TL;DR : L’essentiel
- La fusion des équipes de sécurité au sein du groupe Google Threat Intelligence a nécessité le rapprochement de deux systèmes de suivi historiques. L’entreprise remplace désormais ces bases divergentes par une structure unifiée de désignation des pirates.
- Le nouveau schéma s’appuie sur une combinaison de deux mots associant un terme mémorisable à une catégorie d’origine ou de motivation. Des repères comme RELIC ou CASTLE qualifient ainsi les acteurs étatiques russes ou chinois.
- Cette initiative marque une prise de distance avec les tentatives de standardisation globale menées par d’autres acteurs du secteur. La diversité des systèmes de nommage continue d’imposer un effort de conversion aux responsables de la sécurité.
Google Threat Intelligence Group déploie une nouvelle nomenclature de nommage des cyberattaquants afin de simplifier l’attribution et le suivi des groupes criminels à travers le monde. L’attribution des opérations malveillantes constitue un défi majeur de la cybersécurité moderne, où la fragmentation des données d’analyse rend l’identification des acteurs particulièrement complexe.
Nommage des cyberattaquants : Une nomenclature fondée sur des cryptonymes
Historiquement, les équipes de Mandiant et du groupe d’analyse des menaces de Google géraient des catalogues d’identification distincts. À la suite de leur regroupement opérationnel, l’organisation a formalisé un système unique pour éviter les doublons et faciliter la transmission d’informations stratégiques. Selon la publication officielle sur le Google Cloud Blog, l’objectif principal consiste à remplacer les numéros séquentiels abstraits par des appellations fondées sur l’intuition plutôt que sur la mémorisation.
Concrètement, chaque entité répertoriée reçoit une combinaison mémorisable de deux mots. Le premier terme désigne spécifiquement le groupe en réutilisant une appellation publique existante ou un mot généré aléatoirement pour écarter tout biais d’analyse. Le second terme identifie le mobile ou la provenance géographique : la désignation CASTLE s’applique aux offensives chinoises, ION aux activités iraniennes, NEPTUNE à la Corée du Nord, RELIC à la Russie et COMET aux réseaux cybercriminels financiers non étatiques. Les ensembles en cours d’investigation conservent provisoirement le préfixe UNC.
L'essentiel Cybersécurité, IA & Tech
Rejoignez la communauté. 3 fois par semaine, recevez l'analyse des tendances par Marc Barbezat. Pas de spam, juste de l'info.
Analyse
L’attribution des cybercrimes et des cyberattaques demeure un enjeu et une difficulté réels pour l’ensemble du secteur. Face à des groupes qui disparaissent, réapparaissent ou modifient leurs alliances de façon permanente, Google tente une nouvelle approche pour mieux les identifier, les catégoriser et suivre leur existence dans l’écosystème criminel.
Attribution des cyberattaques : Une fragmentation des standards du secteur
Cette mise à jour intervient alors que l’industrie de la cybersécurité peine à s’accorder sur un vocabulaire universel. Comme le souligne The Register, des efforts conjoints avaient été initiés en 2025 par Microsoft et CrowdStrike pour faire correspondre leurs taxonomies respectives. Une même unité d’information militaire russe accumule ainsi près de 10 désignations différentes selon les éditeurs, allant de Seashell Blizzard à APT44 en passant par VOODOO BEAR ou IRIDIUM.
Cette juxtaposition de conventions contraint les responsables de la sécurité informatique à effectuer d’incessantes équivalences entre les alertes qu’ils reçoivent. Comme le rappelle CyberScoop, si CrowdStrike recourt à un bestiaire animalier et Microsoft à des phénomènes météorologiques, l’approche de Google privilégie des cryptonymes neutres tout en maintenant la correspondance avec le référentiel MITRE ATT&CK. Cette tentative de clarification technique illustre la difficulté structurelle à maintenir un suivi cohérent face à la constante mutation des menaces.
Questions fréquentes sur le nommage des cyberattaquants
Pourquoi Google modifie-t-il sa nomenclature d’identification des pirates ?
Le regroupement des équipes de Mandiant et de Google Threat Analysis Group a engendré des doublons dans le suivi des menaces. La nouvelle structure vise à unifier ces bases d’analyse sous une convention unique plus lisible pour les défenseurs.
Comment fonctionne le système de nommage des cyberattaquants de Google ?
Chaque groupe se voit attribuer un nom composé de deux mots. Le premier est un identifiant spécifique mémorisable, tandis que le second indique l’origine géographique ou la motivation de l’attaquant, à l’image du terme RELIC pour la Russie ou CASTLE pour la Chine.
Quels sont les risques liés à la multiplication des taxonomies en cybersécurité ?
La coexistence de plusieurs nomenclatures oblige les équipes de sécurité à traduire en permanence les identifiants entre différents éditeurs pour une même menace. Cela peut ralentir la prise de décision et la réaction face aux incidents critiques.
Pour approfondir le sujet
Comment Microsoft nomme les acteurs de la menace – Opérations de sécurité unifiées
Découvrez comment Microsoft nomme les acteurs malveillants à l'aide d'une taxonomie basée sur les conditions météorologiques. Consultez la liste complète des acteurs suivis, avec leurs anciens noms et des informations sur leur origine. Lire la suite
Identifier les adversaires et pourquoi c'est important pour votre équipe de sécurité
D'où viennent ces noms d'adversaires amusants comme FANCY BEAR , WIZARD SPIDER et DEADEYE JACKAL ? On les retrouve dans les médias, sur les t-shirts de CrowdStrike et ils sont même mentionnés par MITRE dans le framework ATT&CK. Lire la suite
Actualités liées
Annonce d'une nouvelle collaboration stratégique pour clarifier la dénomination des acteurs malveillants | Blog de sécurité Microsoft
Microsoft et CrowdStrike s'associent pour harmoniser leurs taxonomies respectives d'acteurs de la menace afin d'aider les professionnels de la sécurité à relier plus rapidement les informations. Lire la suite
Système de dénomination des acteurs de la cybermenace mis à jour | Blog Google Cloud
Mise à jour (30 juillet) : Un tableau répertoriant les nouveaux noms de certains acteurs malveillants importants a été ajouté à cet article. Lire la suite
Serveurs, API, temps de veille...
DCOD est indépendant et sans revenus. Soutenez le site pour l'aider à couvrir ses frais techniques.
