המהלך החדש של גוגל לפתור את בלבול השמות בעולם הסייבר

בעולם הסייבר, לדעת מי תוקף חשוב לא פחות מאיך הוא תוקף. אבל במשך שנים, התעשייה נאבקה בבעיה בסיסית של תיאום: כל חברת אבטחה גדולה קוראת לאותה קבוצת האקרים בשם אחר. קבוצת ריגול רוסית נקראת APT28 אצל Mandiant, Fancy Bear אצל CrowdStrike, ו-Strontium אצל Microsoft – והפיצול הזה יכול לעלות בשעות יקרות במהלך מתקפה פעילה .

ביולי-אוגוסט 2026, קבוצת מודיעין האיומים של גוגל (GTIG) לקחה על עצמה לטפל בבלגן הזה. היא ביטלה את שיטת המספור הישנה של APT והשיקה פורמט חדש בן שתי מילים, שנועד להיות ברור במבט חטוף .

למה חברות סייבר נותנות שמות צופן לקבוצות האקרים?

שמות צופן קיימים בגלל שחוקרי אבטחה צריכים תווית משותפת וקבועה לקבוצת פעילות זדונית, הרבה לפני שאפשר להוכיח זהות משפטית של גורם ספציפי או להאשים אותו רשמית . שיין האנטלי, CTO של GTIG, הסביר בראיונות ששם צופן משמש כ"עוגן קבוע" – הוא מאפשר לאנליסטים מארגונים, יבשות ותעשיות שונות לחלוק מידע על אותו האויב באופן מיידי . שם נכון הופך אוסף מפוזר של כתובות IP, חתימות תוכנה זדונית וטקטיקות לישות ניתנת למעקב לאורך שנים .

לפני שקבוצת האקרים מקבלת שם קבוע, היא מתחילה בדרך כלל כקבוצת מעקב זמנית עם תווית UNC (ללא קטגוריה) ומזהה מספרי, כמו UNC1878 . רק אחרי שמצטברות מספיק ראיות, הקבוצה עוברת לשם צופן.

בעיית הפיצול: יותר מדי שמות לאותו איום

הגידול בזירת האיומים הכריע את הגישה הישנה. האנליסט הראשי של גוגל, ג'ון הולטקוויסט, ציין שהחברה עוקבת כעת אחרי יותר מ-5,000 "אשכולות פעילות" במדינות שונות – נפח שהופך כל טקסונומיה מספרית לבלתי שמישה . עם כל כך הרבה ישויות, מספרי APT רציפים הפכו מבלבלים כמו שהם מועילים.

"לעתים קרובות, אפילו מומחים בתעשייה לא מצליחים לעקוב אחרי השמות," אמר האנטלי ל-TechCrunch . לכל חברת אבטחה יש טקסונומיה משלה. מיקרוסופט משתמשת בשמות שמבוססים על מזג אוויר (Nobelium, Seashell Blizzard), CrowdStrike משתמשת בשמות של חיות (Cozy Bear, Fancy Bear), ו-Palo Alto Networks משתמשת בשיטה משלה (למשל Muddled Libra) . הפיצול הזה מאט את תגובת האירועים, כי צוותים מבזבזים זמן על תיאום תוויות במקום לעצור את הנזק . האנטלי הסביר שלגרום לחברות שונות לאמץ מערכת אחידה זה לא ריאלי, כי לכל ארגון יש נראות שונה, נתונים שונים וצרכים מבצעיים שונים .

שיטת השמות החדשה של גוגל: שם אקראי + מילת מדינה

השיטה החדשה של GTIG מחליפה את רצף המספרים APT הישן של Mandiant (APT1, APT41 וכו') ומאחדת את שיטות מתן השמות שהתפתחו בנפרד בתוך קבוצת ניתוח האיומים של גוגל ו-Mandiant .

לפורמט החדש יש שני חלקים :

• מילה ראשונה – שם אקראי ובלתי נשכח לזיהוי הקבוצה הספציפית. אם יש שם ידוע שכבר קיים בדיווחים ציבוריים (למשל Lazarus), GTIG שומרת עליו .
• מילה שנייה – מחוון קטגוריה קבוע, שהאות הראשונה שלו מסמנת את מדינת המוצא המוערכת או סוג הפעילות. ארבעת קודי המדינה המאושרים הם :
  • Castle → סין
  • Ion → איראן
  • Neptune → קוריאה הצפונית
  • Relic → רוסיה

המערכת אינה מוגבלת לארבע הקטגוריות האלה; גוגל בנתה את הטקסונומיה כך שניתן להוסיף מילות קטגוריה נוספות בעתיד . האנטלי אמר שהשינוי נועד להקל על חוקרים בתוך החברה ומחוצה לה לזהות בבירור קבוצות איום שונות, ולאפשר למגנים להבין את מקור התוקף, מניעיו וסוג הפעילות במבט אחד .

האתגר העמוק יותר: מדינות, פושעים וקבלני האקרים מתבלבלים

בעוד ששינוי השמות עוזר, הוא לא פותר את הקושי הבסיסי ביותר במודיעין איומים: להפריד בבירור בין איומים מתקדמים מתמשכים (APT) בחסות מדינה לבין כנופיות סייבר פליליות וקבלני האקרים מסחריים .

הקטגוריות האלה חופפות באופן משמעותי בפועל. קבוצות מיושרות-מדינה מאמצות לפעמים טקטיקות כופר פליליות כדי לייצר הכנסות או להסוות את מקורן . כנופיות פליליות מוכרות גישה וכלים לגורמים ממשלתיים. חברות האקרים שכירות פועלות בשני העולמות. האנשים, הכלים וההשפעות לעתים קרובות לא ניתנים להבחנה .

הולטקוויסט ציין ש-5,000+ אשכולות המעקב של גוגל כוללים גורמים ממלכתיים, פושעי סייבר וסוחרי תוכנות ריגול – והגבולות מיטשטשים כל הזמן . דיוג שנוצר על ידי בינה מלאכותית וכלי סיור אוטומטיים מטשטשים עוד יותר את הקווים, ומקשים על ההבחנה בין מבצע ריגול בחסות מדינה לבין טבעת פשיעה פיננסית .

שיטת השמות החדשה של גוגל עוזרת בכך שהיא מטמיעה את הקשר מדינת המוצא בתוך התווית של כל קבוצה, אבל היא לא יכולה לפתור את העמימות הבסיסית: קבוצה עשויה לפעול כיחידת ריגול בחסות מדינה בקמפיין אחד, וכרמק