Google เปลี่ยนระบบตั้งชื่อแฮกเกอร์ใหม่: ทำไม APT1 กลายเป็น 'ชื่อสุ่ม + รหัสประเทศ'

In the world of cybersecurity, knowing who is attacking matters as much as how they attacked. But for years, the industry has struggled with a fundamental coordination problem: every major vendor calls the same hacking group by a different name. A Russian cyberspy group is APT28 to Mandiant, Fancy Bear to CrowdStrike, and Strontium to Microsoft—and that fragmentation can cost precious hours during an active breach .

In July–August 2026, Google Threat Intelligence Group (GTIG) took aim at this chaos by retiring its legacy APT numbering system and introducing a new two-word cryptonym format designed for clarity at a glance .

ทำไมบริษัทรักษาความปลอดภัยทางไซเบอร์จึงตั้งชื่อรหัสให้กับกลุ่มแฮกเกอร์

ชื่อรหัสมีไว้เพื่อให้นักวิจัยมี 'ป้ายชื่อ' ร่วมกันและยั่งยืนสำหรับกลุ่มกิจกรรมที่เป็นอันตราย ก่อนที่จะพิสูจน์ตัวตนทางกฎหมายของแต่ละบุคคลหรือมีการดำเนินคดีอย่างเป็นทางการ Shane Huntley CTO ของ GTIG อธิบายว่าชื่อรหัสทำหน้าที่เป็น 'จุดยึดที่มั่นคง' (persistent anchor) ช่วยให้นักวิเคราะห์จากองค์กร ทวีป และอุตสาหกรรมต่างๆ สามารถแบ่งปันข้อมูลข่าวกรองเกี่ยวกับผู้โจมตีรายเดียวกันได้ทันที การตั้งชื่อที่เหมาะสมจะเปลี่ยนชุดข้อมูล IP ลายเซ็นมัลแวร์ และกลยุทธ์ที่กระจัดกระจายให้กลายเป็นเอนทิตี้ที่ติดตามได้และสามารถศึกษาได้เป็นเวลาหลายปี

ก่อนที่กลุ่มแฮกเกอร์จะได้รับชื่อถาวร โดยทั่วไปจะเริ่มต้นเป็นคลัสเตอร์การติดตามชั่วคราว โดยกำหนดด้วยป้าย UNC (Uncategorized) และตัวระบุตัวเลข เช่น UNC1878 หลังจากมีหลักฐานเพียงพอ กลุ่มก็จะได้รับการเลื่อนขั้นเป็นชื่อรหัส

ปัญหาความแตกแยก: ชื่อมากเกินไปสำหรับภัยคุกคามเดียวกัน

การเติบโตของภูมิทัศน์ภัยคุกคามทำให้แนวทางเดิมล้นมือ John Hultquist หัวหน้านักวิเคราะห์ของ Google กล่าวว่าปัจจุบันบริษัทติดตาม 'คลัสเตอร์กิจกรรม' (activity clusters) กว่า 5,000 รายการทั่วโลก ซึ่งเป็นปริมาณที่ทำให้ระบบการจัดหมวดหมู่ด้วยตัวเลขใดๆ ใช้การไม่ได้ ด้วยจำนวนที่มากมายขนาดนี้ เลข APT แบบเรียงลำดับจึงสร้างความสับสนมากกว่าจะช่วยได้

"แม้แต่คนในวงการก็ยังจำกันไม่ได้" Huntley บอกกับ TechCrunch ผู้จำหน่ายความปลอดภัยแต่ละรายมีระบบการเรียกชื่อของตัวเอง Microsoft ใช้ชื่อที่เกี่ยวข้องกับสภาพอากาศ (Nobelium, Seashell Blizzard), CrowdStrike ใช้ชื่อสัตว์ (Cozy Bear, Fancy Bear), และ Palo Alto Networks ใช้ระบบของตัวเอง (เช่น Muddled Libra) ความแตกแยกนี้ทำให้การตอบสนองต่อเหตุการณ์ช้าลงเพราะทีมงานต้องเสียเวลาจับคู่ป้ายชื่อ แทนที่จะควบคุมความเสียหาย Huntley อธิบายว่าการให้บริษัทต่างๆ มาใช้ระบบเดียวกันนั้นไม่สมจริง เพราะแต่ละองค์กรมีวิสัยทัศน์ ข้อมูล และความต้องการในการปฏิบัติงานที่แตกต่างกัน

ระบบตั้งชื่อใหม่ของ Google: ชื่อสุ่ม + คำบอกประเทศ

ระบบชื่อใหม่ของ GTIG เข้ามาแทนที่ลำดับเลข APT แบบเก่าของ Mandiant (APT1, APT41 ฯลฯ) และรวมแนวทางการตั้งชื่อที่พัฒนาขึ้นอย่างอิสระภายใน Google's Threat Analysis Group และ Mandiant

รูปแบบใหม่ประกอบด้วยสองส่วน :

• คำแรก — เป็นชื่อสุ่มที่น่าจดจำ ซึ่งระบุกลุ่มนั้นโดยเฉพาะ หากกลุ่มมีชื่อที่รู้จักกันดีจากรายงานสาธารณะอยู่แล้ว (เช่น Lazarus) GTIG จะคงชื่อนั้นไว้
• คำที่สอง — เป็นตัวบ่งชี้หมวดหมู่คงที่ โดยอักษรตัวแรกบ่งชี้ประเทศต้นทางหรือประเภทกิจกรรมที่ประเมินไว้ รหัสประเทศที่ยืนยันแล้วมีสี่รหัส :
  • Castle → จีน
  • Ion → อิหร่าน
  • Neptune → เกาหลีเหนือ
  • Relic → รัสเซีย

ระบบนี้ไม่ได้จำกัดอยู่แค่สี่หมวดหมู่นี้ Google ได้สร้างระบบอนุกรมวิธานให้รองรับคำศัพท์หมวดหมู่เพิ่มเติมตามความจำเป็น Huntley กล่าวว่าการเปลี่ยนแปลงนี้ออกแบบมาเพื่อ 'ให้นักวิจัยทั้งภายในและภายนอกบริษัทสามารถระบุกลุ่มภัยคุกคามต่างๆ ได้ชัดเจนยิ่งขึ้น' และช่วยให้ผู้ป้องกันเข้าใจที่มา แรงจูงใจ และประเภทกิจกรรมของผู้โจมตีได้ในเวลาเดียว

ความท้าทายที่ลึกซึ้งยิ่งขึ้น: กลุ่มที่รัฐสนับสนุน อาชญากร และกลุ่มรับจ้างแฮกเลือนลางกัน

แม้การปรับเปลี่ยนชื่อจะช่วยได้ แต่ก็ไม่ได้แก้ปัญหาพื้นฐานที่สุดในวงการข่าวกรองภัยคุกคาม นั่นคือการแยกภัยคุกคามถาวรขั้นสูงที่รัฐสนับสนุนออกจากแก๊งอาชญากรไซเบอร์และการดำเนินงานของมือปืนรับจ้างได้อย่างชัดเจน

หมวดหมู่เหล่านี้ทับซ้อนกันอย่างมากในทางปฏิบัติ กลุ่มที่ใกล้ชิดรัฐบางครั้งใช้กลยุทธ์แรนซัมแวร์ของอาชญากรเพื่อสร้างรายได้หรือปกปิดที่มาของตน กลุ่มอาชญากรขายการเข้าถึงและเครื่องมือให้กับผู้กระทำการที่รัฐหนุนหลัง บริษัทรับจ้างแฮกดำเนินงานทั้งสองโลก บุคลากร เครื่องมือ และผลกระทบมักแยกไม่ออกจากกัน

Hultquist ชี้ให้เห็นว่าคลัสเตอร์ที่ Google ติดตามกว่า 5,000 รายการรวมถึงผู้กระทำการของรัฐ อาชญากรไซเบอร์ และผู้จำหน่ายสปายแวร์รับจ้าง—และขอบเขตก็เลือนลางตลอดเวลา ฟิชชิ่งที่สร้างโดย AI และเครื่องมือสอดแนมอัตโนมัติยิ่งทำให้เส้นแบ่งมัวหมอง ทำให้ยากขึ้นที่จะแยกแยะระหว่างปฏิบัติการจารกรรมที่รัฐสนับสนุนกับแก๊งอาชญากรที่ขับเคลื่อนด้วยการเงิน

ระบบตั้งชื่อใหม่ของ Google ช่วยได้โดยฝังบริบทประเทศต้นทางลงในป้ายชื่อของแต่ละกลุ่มโดยตรง แต่ไม่สามารถแก้ไขความคลุมเครือที่ซ่อนอยู่ได้: กลุ่มหนึ่งอาจปฏิบัติการเป็นหน่วยจารกรรมที่รัฐหนุนหลังในแคมเปญหนึ่ง และเป็นผู้ดำเนินการแรนซัมแวร์อิสระในอีกแคมเปญหนึ่ง และกลุ่มต่างๆ มักเปลี่ยนชื่อแบรนด์หรือใช้โครงสร้างพื้นฐานร่วมกัน

สรุป

ชื่อรหัสเป็นคำศัพท์ร่วมที่สำคัญสำหรับการติดตามคู่ต่อสู้ในอุตสาหกรรมความปลอดภัยทางไซเบอร์ แต่ระบบการตั้งชื่อที่ไม่สอดคล้องกันของผู้จำหน่ายแต่ละรายสร้างความสับสนที่เป็นอันตราย แผนชื่อสองคำแบบใหม่ของ Google ซึ่งจับคู่ชื่อสุ่มที่น่าจดจำกับคำบ่งชี้ประเทศ ช่วยจัดการปัญหาความแตกแยกสำหรับการติดตามคลัสเตอร์กว่า 5,000 รายการของบริษัทเอง การเปลี่ยนแปลงนี้ช่วยให้ผู้ป้องกันเข้าใจได้เร็วขึ้นว่ากำลังเผชิญหน้ากับใคร อย่างไรก็ตาม ความยากลำบากในการแยกตัวแสดงของรัฐออกจากอาชญากรและทหารรับจ้างยังคงเป็นความท้าทายในการปฏิบัติงานที่ไม่มีระบบการตั้งชื่อใดจะสามารถแก้ไขได้ทั้งหมด