Google mění systém pojmenovávání hackerských skupin: Konec APT číslům, přichází srozumitelné kódové názvy

Ve světě kybernetické bezpečnosti je stejně důležité vědět, kdo útočí, jako to, jak útočí. Už roky se ale obor potýká se zásadním koordinačním problémem: každý větší dodavatel označuje stejnou hackerskou skupinu jiným jménem. Ruská špionážní skupina je pro Mandiant APT28, pro CrowdStrike Fancy Bear a pro Microsoft Strontium – a tato roztříštěnost může stát drahocenné hodiny při aktivním bezpečnostním incidentu .

V červenci a srpnu 2026 se Google Threat Intelligence Group (GTIG) rozhodl s tímto chaosem skoncovat. Opustil starý systém APT číslování a zavedl nový formát dvouslovných přezdívek navržený tak, aby byl na první pohled srozumitelný .

Proč bezpečnostní firmy vůbec dávají hackerským skupinám kódová jména

Kódová jména existují, protože bezpečnostní výzkumníci potřebují sdílený a trvalý štítek pro určitou škodlivou aktivitu, a to dávno předtím, než je možné prokázat konkrétní právní identitu lidí nebo učinit oficiální policejní obvinění . Shane Huntley, technický ředitel GTIG, v rozhovorech vysvětlil, že přezdívka slouží jako „trvalá kotva“ – umožňuje analytikům z různých organizací, kontinentů i oborů okamžitě sdílet informace o stejném protivníkovi . Správně pojmenovaná skupina promění nesourodou sbírku IP adres, vzorků malwaru a pozorovaných taktik v dohledatelný subjekt, který lze studovat roky .

Než hackerská skupina dostane trvalé jméno, obvykle začíná jako dočasný sledovací cluster s označením UNC (Uncategorized – nekategorizováno) a číselným identifikátorem, například UNC1878 . Teprve až je nashromážděno dost důkazů, postoupí na pojmenovanou přezdívku.

Problém roztříštěnosti: Příliš mnoho jmen pro stejnou hrozbu

Nárůst počtu hrozeb starý přístup zahltil. Hlavní analytik Googlu John Hultquist uvedl, že společnost nyní sleduje přes 5 000 „aktivitních clusterů“ z mnoha zemí – objem, který žádné číselné třídění nezvládne . Při tolika entitách se posloupná APT čísla stala stejně matoucí jako užitečná.

„Často to nedokážou sledovat ani samotní insiderři z oboru,“ řekl Huntley TechCrunch . Každý bezpečnostní dodavatel má svou taxonomii. Microsoft používá jména podle počasí (Nobelium, Seashell Blizzard), CrowdStrike zvířecí (Cozy Bear, Fancy Bear) a Palo Alto Networks vlastní systém (Muddled Libra) . Tato roztříštěnost zpomaluje reakci na incidenty, protože týmy ztrácejí čas srovnáváním názvů místo zastavení útoku . Huntley vysvětlil, že přimět různé firmy k univerzálnímu systému není reálné – každá organizace má jiné možnosti vidění, data i provozní potřeby .

Nový systém Googlu: Náhodné jméno + slovo pro zemi

Nový systém GTIG nahrazuje starou číselnou řadu Mandiant (APT1, APT41 atd.) a sjednocuje pojmenovávání, které se nezávisle vyvinulo uvnitř Google Threat Analysis Group a Mandiantu .

Nový formát má dvě části :

• První slovo – zapamatovatelné, náhodně zvolené jméno, které jednoznačně identifikuje konkrétní skupinu. Pokud už skupina má známé jméno z veřejného zpravodajství (např. Lazarus), GTIG ho ponechává .
• Druhé slovo – pevně daný ukazatel kategorie, jehož první písmeno signalizuje uznávanou zemi původu nebo typ aktivity. Čtyři potvrzené kódy zemí jsou :
  • Castle → Čína
  • Ion → Írán
  • Neptune → Severní Korea
  • Relic → Rusko

Systém není omezen na tyto čtyři kategorie; Google vytvořil taxonomii, kterou lze podle potřeby doplňovat o další slova . Huntley uvedl, že změna má „usnadnit výzkumníkům uvnitř i vně společnosti jasně identifikovat různé hrozící skupiny“ a umožnit obráncům na první pohled pochopit původ, motivy a typ aktivity útočníka .

Hlubší výzva: Státní aktéři, zločinci a žoldnéřští hackeři splývají

I když změna pojmenování pomáhá, neřeší nejzásadnější obtíž v oblasti zpravodajství o hrozbách: jasné oddělení státem podporovaných pokročilých perzistentních hrozeb od kyberzločineckých gangů a komerčních hackerů najímaných na zakázku .

Tyto kategorie se v praxi výrazně překrývají. Skupiny napojené na státy někdy přebírají kriminální taktiky ransomware pro generování příjmů nebo maskování svého původu . Zločinecké skupiny prodávají přístup a nástroje vládním aktérům. Firma, která najímá hackery, působí v obou světech. Personál, nástroje a důsledky jsou často k nerozeznání .

Hultquist upozornil, že Googlem sledovaných 5 000+ clusterů zahrnuje státní aktéry, kybernetické zločince i žoldnéřské prodejce spywaru – a hranice se neustále stírají . Phishing generovaný umělou inteligencí a automatizované nástroje pro průzkum dále rozmazávají linie, takže je těžší rozeznat státní zpravodajskou operaci od finančně motivovaného zločinu .

Nový systém Googlu pomáhá tím, že přímo do názvu skupiny vkládá kontext země původu, ale nevyřeší základní nejednoznačnost: skupina může v jedné kampani působit jako státní špionáž a v jiné jako nezávislý provozovatel ransomware; skupiny často mění značku nebo sdílejí infrastrukturu .

Shrnutí

Kódová jména poskytují kritickou společnou slovní zásobu pro sledování protivníků napříč kyberbezpečnostním průmyslem. Nejednotné systémy pojmenovávání různých dodavatelů však vytvářely nebezpečný zmatek. Nové dvouslovné schéma Googlu – náhodné jméno v kombinaci se slovem označujícím zemi – přímo řeší tuto roztříštěnost pro vlastní sledování více než 5 000 clusterů. Změna usnadňuje obráncům rychlé pochopení, proti komu stojí. Hlubší problém oddělení státních aktérů od zločinců a žoldnéřů však zůstává nevyřešenou provozní výzvou, kterou žádná reforma pojmenovávání zcela nevyřeší.