Google fait cavalier seul avec une nouvelle taxonomie des équipes de cybercriminalité

Google a créé une nouvelle taxonomie pour décrire les organisations de cybercriminalité, abandonnant apparemment les efforts menés par Microsoft pour créer des noms cohérents.

Le Big G a annoncé samedi son nouveau schéma dans un article faisant état de son acquisition de Mandiant en 2022 et de son incorporation ultérieure dans une nouvelle équipe appelée Google Threat Intelligence Group (CTIG).

Maintenant que deux d’entre eux n’en font plus qu’un, Google estime avoir besoin de conventions de dénomination cohérentes pour décrire les équipes de cybercriminalité.

Le résultat est un schéma de deux mots dans lequel le premier mot « est un terme unique et mémorable choisi pour représenter l’acteur spécifique ». Si les responsables de la sécurité ont déjà appliqué un surnom particulier, Google l’utilisera, sinon il générera aléatoirement un mot « pour supprimer les préjugés ».

Google indique que le deuxième mot « classe les groupes de menaces par motivation, attribution ou type d’activité en fonction de la catégorie que nous considérons comme la plus importante pour les stratégies de défense et de réponse ».

Nous en reparlerons plus tard.

Google a choisi les noms suivants :

• CHÂTEAU pour décrire les équipages de la République populaire de Chine

• ION pour les menaces de l’Iran

• NEPTUNE pour les attaquants nord-coréens

• RELIQUE pour les Russes

• COMÈTE pour les cybercriminels qui ne sont pas soutenus par un État

Le message de Google note que d’autres acteurs du secteur de la sécurité de l’information ont développé leurs propres schémas pour décrire les acteurs de la menace et affirme que le géant du Web « cherche intentionnellement à garder ce système aussi simple que possible pour rationaliser les opérations et faciliter la correspondance avec d’autres taxonomies de dénomination ».

C’est une position étrange, étant donné qu’en 2025, Microsoft et CrowdStrike ont tenté de déclencher un effort à l’échelle du secteur pour appliquer des noms cohérents aux acteurs de la menace. Comme nous l’avions noté à l’époque, l’existence de multiples schémas de dénomination signifie que les chercheurs font souvent référence au même groupe par dix noms différents. Les chercheurs utilisent les noms Seashell Blizzard, IRIDIUM, VOODOO BEAR, BE2, UAC-0113, Blue Echidna, PHANTOM, BlackEnergy Lite et APT44 pour désigner la même entité : l’unité de renseignement militaire russe 74455.

La plupart des organisations utilisant plusieurs outils de sécurité et recevant donc des informations de sécurité sur les menaces de nombreux fournisseurs, les utilisateurs doivent essayer de comprendre contre quelles équipes ils tentent de se défendre.

À l’époque, des sources nous avaient indiqué que Google et Mandiant souhaitaient adopter le projet mené par Microsoft.

La nouvelle annonce de Google suggère que la relation n’a pas été consommée ou n’a pas duré.

Revenons à la question des biais possibles, comme en 2024, le Centre national chinois de réponse d’urgence aux virus informatiques (CVERC) s’est plaint du fait que les entreprises occidentales choisissent des noms comme « Typhoon », « Panda » ou « Dragon » pour décrire les groupes de cybercriminalité chinois.

Le CVERC a suggéré que les noms qui reflètent les expressions idiomatiques de la langue anglaise, tels que « Hurricane » ou « Koala », soient plus appropriés.

Pour ce que ça vaut, « Koala » est un mot issu de la langue parlée par le peuple Darug, la tribu indigène qui vivait autour de Sydney, en Australie, avant la colonisation britannique. Les koalas sont des créatures complètement couchées qui dorment 18 à 22 heures par jour, et la mention des marsupiaux ne peut donc pas inciter les défenseurs à agir, même si les habitudes de ces créatures décrivent peut-être le comportement de certains logiciels malveillants dormants. ®