En juin 2025, je tentais de démêler comment les chercheurs en cybersécurité, faute de connaître la véritable identité des groupes de hackers étatiques, avaient pris l’habitude de leur inventer des noms.

Des ours pour la Russie chez CrowdStrike, des typhons pour la Chine chez Microsoft, des constellations chez Palo Alto Networks : un même acteur pouvait ainsi se retrouver affublé de plusieurs identités selon l’éditeur qui le traquait. Fancy Bear d’un côté, Forest Blizzard de l’autre, pour ne citer que l’un des cas les plus connus.

Le 24 juillet 2026, Google a annoncé ajouter une nouvelle pièce à ce puzzle. Pas pour harmoniser tout l’écosystème, mais pour s’adapter à une évolution interne.

L’histoire cachée derrière les noms des hackers // Source : Numerama

Une harmonisation en interne

En effet, en 2022, Google a racheté le géant Mandiant. Et depuis, le Threat Analysis Group (TAG) de Google, déjà existant avant le rachat, a fonctionné en parallèle avec Mandiant, chacun avec sa propre nomenclature bâtie au fil des années.

Sauf que la fusion n’a pas effacé les habitudes : chaque équipe a gardé sa propre grille de lecture, si bien qu’un même groupe pouvait porter deux étiquettes différentes en interne, et ce, avant même de se frotter aux appellations des concurrents.

C’est ce doublon interne que le nouveau Google Threat Intelligence Group (GTIG), né de cette fusion, a entrepris de résoudre.

Exit les numéros séquentiels façon APT1, Google se lance désormais aussi au petit jeu des cryptonymes. Chaque acteur reçoit désormais un nom composé de deux mots : le premier sert d’identifiant propre au groupe, et reprend autant que possible une appellation déjà utilisée dans la littérature publique pour préserver une continuité, tandis que le second le classe par origine géographique ou par motivation.

Exemple concret : le groupe russe rattaché au GRU, jusqu’ici connu sous le nom d’APT44 ou Sandworm, lui-même détenteur d’une bonne dizaine d’alias (Frozenbarents, Iron Viking, Voodoo Bear, Seashell Blizzard…), a été reclassé sous l’appellation « Sandworm Relic », Relic signalant l’attribution étatique russe.

Une nomenclature de plus dans la nature

Google précise que le déploiement sera progressif. Le géant américain a commencé par renommer plusieurs dizaines des groupes les plus actifs, avant d’étendre le procédé aux autres avec le temps. Les anciens noms ne disparaissent pas pour autant : ils restent consultables dans la plateforme Google Threat Intelligence, aux côtés des correspondances MITRE ATT&CK et des alias utilisés par les autres éditeurs. Les clusters encore trop peu documentés pour être formellement attribués conservent, eux, leur préfixe UNC (« uncategorized »).

Sur le papier, Google vise un suivi plus simple, une meilleure correspondance avec les autres taxonomies du secteur. Mais l’entreprise reconnaît elle-même qu’aucune organisation n’a exactement la même visibilité sur le paysage des menaces, ce qui rend toute comparaison stricte entre acteurs difficile d’un éditeur à l’autre.

Autrement dit, le nouveau système résout la cacophonie interne à Google, mais ne change rien à la fragmentation entre éditeurs. Le problème de fond que nous documentions déjà, il y a un an.