En juin 2025, je tentais de démêler comment les chercheurs en cybersécurité, faute de connaître la véritable identité des groupes de hackers étatiques, avaient pris l’habitude de leur inventer des noms.
Des ours pour la Russie chez CrowdStrike, des typhons pour la Chine chez Microsoft, des constellations chez Palo Alto Networks : un même acteur pouvait ainsi se retrouver affublé de plusieurs identités selon l’éditeur qui le traquait. Fancy Bear d’un côté, Forest Blizzard de l’autre, pour ne citer que l’un des cas les plus connus.
Le 24 juillet 2026, Google a annoncé ajouter une nouvelle pièce à ce puzzle. Pas pour harmoniser tout l’écosystème, mais pour s’adapter à une évolution interne.
Une harmonisation en interne
En effet, en 2022, Google a racheté le géant Mandiant. Et depuis, le Threat Analysis Group (TAG) de Google, déjà existant avant le rachat, a fonctionné en parallèle avec Mandiant, chacun avec sa propre nomenclature bâtie au fil des années.
Sauf que la fusion n’a pas effacé les habitudes : chaque équipe a gardé sa propre grille de lecture, si bien qu’un même groupe pouvait porter deux étiquettes différentes en interne, et ce, avant même de se frotter aux appellations des concurrents.
C’est ce doublon interne que le nouveau Google Threat Intelligence Group (GTIG), né de cette fusion, a entrepris de résoudre.
Exit les numéros séquentiels façon APT1, Google se lance désormais aussi au petit jeu des cryptonymes. Chaque acteur reçoit désormais un nom composé de deux mots : le premier sert d’identifiant propre au groupe, et reprend autant que possible une appellation déjà utilisée dans la littérature publique pour préserver une continuité, tandis que le second le classe par origine géographique ou par motivation.
| Origine / type | Mot-catégorie |
|---|---|
| Chine | CASTLE |
| Iran | ION |
| Corée du Nord | NEPTUNE |
| Russie | RELIC |
| Cybercriminalité | COMET |
Exemple concret : le groupe russe rattaché au GRU, jusqu’ici connu sous le nom d’APT44 ou Sandworm, lui-même détenteur d’une bonne dizaine d’alias (Frozenbarents, Iron Viking, Voodoo Bear, Seashell Blizzard…), a été reclassé sous l’appellation « Sandworm Relic », Relic signalant l’attribution étatique russe.
Une nomenclature de plus dans la nature
Google précise que le déploiement sera progressif. Le géant américain a commencé par renommer plusieurs dizaines des groupes les plus actifs, avant d’étendre le procédé aux autres avec le temps. Les anciens noms ne disparaissent pas pour autant : ils restent consultables dans la plateforme Google Threat Intelligence, aux côtés des correspondances MITRE ATT&CK et des alias utilisés par les autres éditeurs. Les clusters encore trop peu documentés pour être formellement attribués conservent, eux, leur préfixe UNC (« uncategorized »).
Sur le papier, Google vise un suivi plus simple, une meilleure correspondance avec les autres taxonomies du secteur. Mais l’entreprise reconnaît elle-même qu’aucune organisation n’a exactement la même visibilité sur le paysage des menaces, ce qui rend toute comparaison stricte entre acteurs difficile d’un éditeur à l’autre.
Autrement dit, le nouveau système résout la cacophonie interne à Google, mais ne change rien à la fragmentation entre éditeurs. Le problème de fond que nous documentions déjà, il y a un an.
Vous avez lu 0 articles sur Numerama ce mois-ci
Tout le monde n'a pas les moyens de payer pour l'information.
C'est pourquoi nous maintenons notre journalisme ouvert à tous.
Mais si vous le pouvez,
voici trois bonnes raisons de soutenir notre travail :
- 1 Numerama+ contribue à offrir une expérience gratuite à tous les lecteurs de Numerama.
- 2 Vous profiterez d'une lecture sans publicité, de nombreuses fonctions avancées de lecture et des contenus exclusifs.
- 3 Aider Numerama dans sa mission : comprendre le présent pour anticiper l'avenir.
Si vous croyez en un web gratuit et à une information de qualité accessible au plus grand nombre, rejoignez Numerama+.
Toute l'actu tech en un clin d'œil
Ajoutez Numerama à votre écran d'accueil et restez connectés au futur !
Tous nos articles sont aussi sur notre profil Google : suivez-nous pour ne rien manquer !