La empresa tecnológica Google ha puesto en marcha un renovado sistema de identificación para los grupos de ciberdelincuentes, con el propósito de simplificar su seguimiento en el ámbito de la ciberseguridad. En un contexto donde la proliferación de actores y etiquetas ha dificultado el monitoreo de amenazas, el intercambio de información y la respuesta rápida a incidentes, esta medida busca ordenar el panorama.
Actualmente, Google monitorea más de 5.000 ‘clusters de actividad’ distribuidos en diversos países. Esta enorme cantidad de grupos explica por qué la firma decidió abandonar una nomenclatura que, con el paso del tiempo, se había tornado confusa y difícil de seguir.
La modificación fue revelada el mes pasado y reemplaza el anterior sistema de nombres APT (Amenaza Persistente Avanzada), empleado por Mandiant, la empresa de seguridad ahora integrada a Google. El esquema previo había generado una clasificación demasiado compleja para rastrear a los distintos actores.
Por más de una década, la industria de la ciberseguridad asignó denominaciones a los grupos de hackers. Algunos, como Fancy Bear, ganaron notoriedad gracias a ataques de alto perfil y etiquetas fáciles de recordar; otros, en cambio, quedaron perdidos en un mapa cada vez más desordenado.
Ese caos motivó incluso la creación de recursos como el de Mitre, concebido como una referencia unificada para especialistas en seguridad, funcionarios gubernamentales y el público en general. La decisión de Google apunta a resolver el mismo problema: hacer más entendible quién es quién dentro del ecosistema de amenazas.
Así funciona el reemplazo del sistema APT: nombres aleatorios y país de origen
La nueva metodología consiste en otorgar a cada grupo un nombre aleatorio y fácil de recordar, acompañado de una palabra que indica su país de procedencia. Entre los ejemplos citados por la compañía figuran Castle para China, Ion para Irán, Neptune para Corea del Norte y Relic para Rusia.
Shane Huntley, director de tecnología de Google Threat Intelligence Group, señaló que el cambio apunta a brindar claridad tanto a los investigadores internos como a los externos. Según dijo, cuando las empresas empezaron a publicar informes sobre ciberataques y a nombrar a los responsables en la década de 2010, no imaginaban que la cantidad de grupos se expandiría hasta los niveles actuales.
Huntley recalcó que poner nombre a estos actores no es un simple ejercicio académico. La meta, indicó, es construir una comprensión básica sobre quién ataca a quién y de qué manera, para que las organizaciones puedan reconocer amenazas con mayor rapidez, prepararse y, en última instancia, detenerlas o investigar los incidentes con más eficiencia.
Huntley lo resumió de esta manera:
“Si realmente te hackean o estás lidiando con algún incidente, conocer el comportamiento de ese actor, cuáles son sus objetivos y para quién trabajan se vuelve críticamente importante para ayudar en la respuesta y para determinar tu cobertura contra estas amenazas”.
Diferencias entre ciberdelincuentes: hackers estatales vs. criminales
Google diferencia entre diversas categorías de actores. El rastreo de hackers financiados por gobiernos, si bien es complejo, resulta más sencillo que el seguimiento de grupos de ciberdelincuentes y mercenarios digitales.
John Hultquist, analista jefe de Google Threat Intelligence Group, explicó que los actores estatales suelen tener metas y comportamientos más estables. En contraste, los grupos criminales son más volátiles: sus integrantes van y vienen, a menudo se dividen y muestran estructuras menos definidas.
A esto se agrega el reto que representan los hackers a sueldo y los creadores de spyware. Como trabajan para diversos clientes alrededor del globo, generan huellas más difusas, lo que complica la atribución consistente de operaciones.
Huntley agregó que en la actualidad son muy pocos los países desarrollados que carecen de capacidades cibernéticas propias y de grupos de hackers. Esta realidad expande el abanico de actores que las compañías de seguridad deben vigilar al mismo tiempo.
Una crítica frecuente ante cada nuevo sistema es la falta de uniformidad entre empresas y organizaciones. La respuesta de Huntley es que cada firma analiza a estos grupos a partir de sus propios datos y telemetrías, lo que genera una perspectiva ligeramente diferente de cada actor.
Fuente: Infobae