Google cambia il modo in cui identifica i gruppi responsabili delle minacce informatiche. Il Google Threat Intelligence Group abbandonerà progressivamente la rete di sigle ereditata dai suoi team, sostituendola con nomi composti da due parole. La conversione partirà da diverse decine di gruppi seguiti con maggiore attenzione e proseguirà nel tempo, con l’obiettivo di rendere immediatamente più leggibili origine, motivazione o attività degli attaccanti.
Il primo nome emerso pubblicamente è Sandworm Relic, assegnato al gruppo legato all’intelligence militare russa conosciuto nel settore come Sandworm. La scelta mostra il funzionamento del nuovo schema: la prima parola identifica in modo riconoscibile l’attore, mentre la seconda lo inserisce in una categoria. Nel caso specifico, Relic segnala il collegamento con la Russia.
Il sistema nasce anche dalla critica di Google agli identificatori sequenziali come APT1. Una sigla numerica, nella valutazione dell’azienda, non offre ai difensori indicazioni immediate sull’interlocutore, sulla provenienza dell’attacco o sulle sue motivazioni. I nuovi cryptonym a due parole puntano invece a combinare riconoscibilità e classificazione, riducendo il lavoro necessario per interpretare le etichette nei rapporti di sicurezza.
La prima parola sarà distintiva e facile da ricordare. Quando la comunità della sicurezza utilizza già un nome consolidato, GTIG intende conservarlo; in assenza di un termine condiviso, la parola verrà generata casualmente per limitare i bias e successivamente verificata dagli analisti. La seconda parola funzionerà invece come indicatore stabile di attribuzione o motivazione, permettendo di raggruppare attività considerate affini.
La tabella presentata da Google associa Castle ai gruppi collegati alla Repubblica Popolare Cinese, Ion all’Iran, Neptune alla Corea del Nord e Relic alla Russia. Il termine Comet identifica invece gli attori mossi da finalità finanziarie. La coppia di parole dovrebbe quindi comunicare sia l’identità specifica del gruppo sia la categoria nella quale Google colloca le sue operazioni.
L’impostazione ricorda quella adottata da tempo da CrowdStrike, che abbina un termine distintivo a un animale collegato al Paese o alla motivazione: Panda per la Cina, Bear per la Russia, Spider per i criminali e Jackal per gli hacktivisti. Google sostituisce gli animali con categorie come Castle e Neptune. Anche Microsoft utilizza una propria nomenclatura, basata su termini meteorologici, mentre alcune attribuzioni legate a questi sistemi sono state contestate pubblicamente da Paesi come la Cina.
Il riordino segue l’acquisizione di Mandiant per 5,4 miliardi di dollari, annunciata nel 2022. Google ha poi unito Mandiant al proprio Threat Analysis Group per formare GTIG. L’integrazione ha riunito due sistemi di tracciamento sviluppati separatamente per anni: la stessa attività poteva quindi comparire con etichette differenti a seconda del team responsabile del rapporto. La nuova convenzione prova a eliminare almeno questa duplicazione interna.
Resta aperto il problema della frammentazione a livello di settore. Nel giugno 2025 Google e Mandiant avevano aderito a un’iniziativa di Microsoft e CrowdStrike per mappare gli alias utilizzati dai diversi operatori, ma l’annuncio della nuova nomenclatura non la menziona. Se le nuove etichette venissero adottate più ampiamente, la lettura delle minacce potrebbe diventare più lineare; in assenza di uno standard condiviso, i team di difesa dovranno invece imparare un ulteriore vocabolario.