Google ha creato una nuova tassonomia per identificare i gruppi di criminali informatici, scegliendo una strada autonoma rispetto al tentativo di uniformare i nomi avviato da altri protagonisti della sicurezza. Lo schema, annunciato dall’azienda, assegna a ciascun attore una denominazione composta da due parole, pensata per rendere più coerente il lavoro del Google Threat Intelligence Group e semplificare il confronto con le classificazioni utilizzate nel settore.
La decisione arriva dopo l’acquisizione di Mandiant nel 2022 e la successiva integrazione delle attività di intelligence in un’unica squadra, il Google Threat Intelligence Group. La convergenza tra le due organizzazioni ha reso necessario adottare convenzioni comuni per descrivere campagne, gruppi e cluster di minacce, superando i sistemi di denominazione precedentemente utilizzati dalle singole strutture.
Nel nuovo modello, la prima parola è un termine unico e facilmente riconoscibile associato allo specifico attore. Quando la comunità della sicurezza ha già consolidato un nome, Google può conservarlo; negli altri casi il termine viene generato casualmente. L’obiettivo dichiarato è ridurre i possibili condizionamenti culturali o geografici che possono emergere nella scelta delle etichette assegnate ai gruppi cyber.
La seconda parola svolge invece una funzione classificatoria: indica la motivazione, l’attribuzione oppure il tipo di attività del gruppo, privilegiando la categoria considerata più utile per le strategie di difesa e risposta. Google sostiene di voler mantenere il sistema intenzionalmente semplice, così da agevolare le operazioni quotidiane e la mappatura verso le altre tassonomie delle minacce già adottate dai fornitori di sicurezza.
La scelta introduce tuttavia un nuovo schema in un panorama già frammentato. Nel 2025, Microsoft e CrowdStrike avevano promosso un’iniziativa per rendere più uniformi i nomi degli attori ostili. La proliferazione delle classificazioni può portare i ricercatori a indicare la stessa organizzazione con numerose etichette differenti, complicando la lettura dei rapporti e il confronto tra informazioni provenienti da piattaforme diverse.
Un caso emblematico riguarda l’unità 74455 dell’intelligence militare russa, identificata con nomi come Seashell Blizzard, IRIDIUM, VOODOO BEAR, BE2, UAC-0113, Blue Echidna, PHANTOM, BlackEnergy Lite e APT44. Per le imprese che utilizzano più strumenti di sicurezza, questa sovrapposizione obbliga i team a verificare continuamente se avvisi apparentemente distinti riguardino in realtà il medesimo avversario.
Il ricorso a parole generate casualmente affronta anche il tema dei pregiudizi nelle denominazioni. Nel 2024, il National Computer Virus Emergency Response Center cinese aveva criticato l’uso, da parte delle aziende occidentali, di termini come “Typhoon”, “Panda” e “Dragon” per descrivere gruppi collegati alla Cina. Il CVERC aveva proposto alternative legate a espressioni inglesi, citando “Hurricane” e “Koala”.
La nuova impostazione di Google prova quindi a conciliare riconoscibilità, neutralità e utilità operativa, ma non elimina il problema di fondo: ogni ulteriore vocabolario richiede una corrispondenza precisa con quelli già esistenti. Per aziende e analisti, l’efficacia della threat intelligence dipenderà anche dalla capacità degli strumenti di tradurre automaticamente queste etichette, evitando che differenze nominali rallentino l’identificazione e la risposta alle minacce.