Google repense ses noms de hackers pour accélérer la riposte cyber

Dans la cybersécurité, un nom peut accélérer ou ralentir une enquête. Pendant des années, les groupes de hackers ont été désignés par des codes comme APT1 ou APT41, par des surnoms médiatiques ou par des étiquettes propres à chaque éditeur. Le résultat est connu des analystes : un même acteur peut apparaître sous plusieurs noms, tandis que deux groupes différents peuvent être confondus lorsque les informations sont incomplètes.

La nomenclature devient utile lorsqu’elle relie un signal technique à une mémoire opérationnelle. Illustration IA éditoriale BNTIC News, non documentaire.

Selon l’article publié le 8 août par TechCrunch, Google a donc abandonné une partie de son ancien système hérité de Mandiant. La logique actuelle est plus lisible : un premier nom mémorable et aléatoire, puis un mot dont l’initiale indique le pays d’origine supposé. Castle renvoie à la Chine, Ion à l’Iran, Neptune à la Corée du Nord et Relic à la Russie. Cette convention ne prétend pas résoudre toute l’attribution. Elle donne plutôt un cadre commun pour parler d’une activité suivie dans le temps.

Plus de 5 000 traces à relier

Shane Huntley, responsable technologique du Google Threat Intelligence Group, explique que l’industrie n’avait pas anticipé l’explosion du nombre de groupes à suivre. John Hultquist, analyste en chef cité par TechCrunch, évoque plus de 5 000 « activity clusters » observés dans plusieurs pays. Le terme est prudent : un cluster peut correspondre à une campagne, à un ensemble d’outils ou à des opérations qui ne sont pas encore attribuées de façon certaine à une organisation unique.

Relier des campagnes, des outils et des comportements permet d’identifier les répétitions avant qu’elles ne deviennent une crise. Illustration IA BNTIC News, non documentaire.

Le bénéfice est opérationnel. Connaître les cibles habituelles d’un acteur, ses méthodes d’accès, ses heures d’activité et les infrastructures qu’il réutilise aide à renforcer la détection. Lorsqu’un incident survient, l’équipe ne repart pas de zéro : elle peut rechercher des indicateurs déjà documentés, vérifier les systèmes exposés et prioriser les mesures de confinement. Dans les administrations, les banques ou les opérateurs de télécommunications, cette mémoire partagée peut réduire le temps entre l’alerte et la décision.

Le nom ne remplace pas la preuve

Google reconnaît toutefois qu’aucune entreprise ne dispose d’une visibilité parfaite. Les groupes soutenus par des États sont souvent plus faciles à suivre, car leurs objectifs et leurs cibles restent relativement cohérents. Les cybercriminels, les courtiers en accès et les sociétés de logiciels espions sont plus mouvants : ils se fragmentent, changent de clients et réutilisent des outils disponibles sur le marché. Une étiquette ne doit donc jamais être confondue avec une certitude judiciaire ou diplomatique.

Une attribution utile doit servir une décision : contenir, corriger, partager ou alerter. Illustration IA éditoriale BNTIC News, non documentaire.

Pour l’Afrique, où la finance mobile, les services publics numériques et les infrastructures télécoms se développent rapidement, l’enjeu est particulièrement concret. Les centres de réponse aux incidents ont besoin de taxonomies compatibles, de données partageables et de règles claires sur ce qui peut être diffusé. Les pays n’ont pas besoin de copier le vocabulaire de la Silicon Valley à l’identique, mais de bâtir une grammaire commune entre opérateurs, banques, administrations et autorités cyber.

La vraie innovation n’est donc pas le prénom attribué à un hacker. C’est la capacité à transformer des milliers de signaux dispersés en connaissance exploitable, sans surinterpréter les indices. Dans une crise, une bonne nomenclature est une boussole : elle oriente l’action, mais elle ne remplace jamais la vérification.

Lien source originale : https://techcrunch.com/2026/08/08/googles-top-hacker-hunter-explains-why-hacking-groups-get-codenames/