Breves
El principal cazador de hackers de Google explica por qué los grupos de hackeo reciben nombres en código
Google renovó la forma en que nombra a los grupos de hackeo, usando un primer nombre aleatorio más una segunda palabra que indica el país de origen, después de llegar a rastrear más de 5000 clústeres de actividad.
Desde hace más de una década, la industria de la ciberseguridad ha asignado nombres a distintos grupos de hackeo. Algunos, como Fancy Bear, han cruzado hacia el conocimiento general gracias a sus ataques prominentes y nombres memorables, mientras que otros solo son conocidos dentro de la industria. Incluso quienes trabajan en el sector pueden tener dificultades para llevar la cuenta, en parte porque cada empresa nombra a los grupos de hackeo de manera distinta.
El mes pasado, Google se convirtió en la última empresa en renovar su sistema de nombres. Quedaron atrás etiquetas como APT1 y APT41, el sistema adoptado originalmente por Mandiant, antes una firma de seguridad independiente que ahora es parte de Google y que fue la primera en crear un esquema de nombres para actores de amenazas. El nuevo sistema de Google es más simple: un grupo de hackeo recibe un primer nombre memorable y aleatorio, más una segunda palabra cuya inicial indica su país de origen: Castle para China, Ion para Irán, Neptune para Corea del Norte y Relic para Rusia.
Shane Huntley, director de tecnología del Google Threat Intelligence Group, el equipo interno de caza de hackers de la empresa, dijo que la renovación era necesaria para aportar claridad a los investigadores de seguridad tanto dentro como fuera de Google. Huntley dijo que a principios de la década de 2010, cuando las empresas comenzaron a publicar informes sobre ciberataques y a nombrar a los hackers detrás de ellos, la industria no esperaba tener tantos grupos de amenazas como existen hoy. Google rastrea actualmente más de 5000 “clústeres de actividad” en varios países, según John Hultquist, analista en jefe de Google Threat Intelligence Group, y Huntley dijo que muy pocas naciones desarrolladas carecen de sus propias capacidades cibernéticas y grupos de hackeo.
Nombrar a los grupos de hackeo no es solo un ejercicio académico, explicó Huntley: le da a los defensores una comprensión básica de quién está atacando a quién y cómo, de modo que las organizaciones puedan reconocer amenazas más rápido, prepararse contra ellas e investigar incidentes con mayor prontitud. Rastrear a los hackers respaldados por Estados, dijo, es más fácil que rastrear a los grupos cibercriminales y a los hackers a sueldo, ya que los hackers gubernamentales suelen tener objetivos y actividades más consistentes, mientras que los grupos cibercriminales se dividen y tienen integrantes que van y vienen, y los grupos de hackers a sueldo atienden a clientes en muchos países, lo que hace más difícil seguirles el rastro.
Huntley reconoció los límites de este enfoque: “Nadie tiene una visibilidad perfecta”, dijo. “Estamos construyendo nuestro modelo y nuestra mejor comprensión, pero nunca sabremos todo lo que está pasando”. Al unificar el esquema de nombres del antiguo Threat Analysis Group de Google, que Huntley encabezó previamente, con el de Mandiant, la empresa dice que ahora hay un esquema menos que recordar para la industria.
Por qué importa
Un sistema coherente para nombrar a los actores de amenazas determina qué tan rápido las empresas y los gobiernos pueden reconocer y responder a los ciberataques, y que Google fusione dos esquemas importantes en uno señala cuánta consolidación todavía está ocurriendo dentro de la fragmentada industria de la inteligencia de ciberseguridad.