Google Threat Intelligence Group(GTIG)は、追跡している脅威アクターに対して新しい命名方式の運用を開始しました。この変更は、MandiantとGoogleのThreat Analysis Group(TAG)が1つの部門に統合されたことを受けたもので、統合以前は長年にわたって構築されてきた2つの異なる命名方式が併存する状態になっていました。
これまでMandiantとGoogleのThreat Analysis Groupはそれぞれ別々の命名方式を維持しており、その結果APT1のような連番形式の識別子と、各部門が独自に付けた名称とが混在する状態になっていました。GTIGによれば、これによって防御側がグループ同士を区別しづらくなっていたといいます。
「業界には数多くの脅威アクター追跡方式が存在することを認識しているため、私たちは運用を効率化し、他の命名分類法へのマッピングを容易にすべく、意図的にこの方式をできる限りシンプルに保とうとしています。ただし、重要な留意点が残ります。2つの組織が脅威の状況について全く同じ可視性を持つことはないため、脅威アクター同士を単純に一対一で比較することは、ほとんどの場合できません」とGoogleは述べています。
同社はさらに、「より分かりやすく、覚えやすい命名規則へ移行することは、極めて複雑な追跡課題を管理するための現実的な一歩です」と付け加えています。
新方式では、追跡対象となるすべての脅威アクターに2つの単語からなる暗号名(cryptonym)が割り当てられます。1つ目の単語は特定のグループを識別するものです。そのアクターについて過去の公開レポートですでに名称が存在する場合は、GTIGはその名称をそのまま使用します。存在しない場合は、偏りを避けるためにランダムに単語が生成され、その後アナリストによる審査を経ます。
2つ目の単語は脅威アクターの区分を示すもので、推定される攻撃国、犯罪目的、その他の活動タイプを反映する場合があります。
新方式でGoogleが使用する区分名は以下の通りです。
- 中華人民共和国関連グループにはCASTLE
- イラン関連グループにはION
- 北朝鮮グループにはNEPTUNE
- ロシアグループにはRELIC
- サイバー犯罪グループにはCOMET
例えば、長らくSandworm、またはAPT44として知られてきたロシア国家関連グループは、現在SANDWORM RELICという暗号名を持ちます。1つ目の単語はアナリストがすでに認識している識別子をそのまま維持し、2つ目の単語は推定されるロシア国家との関連性を即座に示します。
初回導入時のGTIプラットフォーム上での脅威アクター名の表示(出典:Google)
GTIGはすでに最も活動的な脅威グループ数十件の名称変更に着手しており、今後さらに多くのアクターが順次更新される予定だとしています。既存の名称が消えることはありません。過去の名称は、MITRE ATT&CKのマッピングや他のセキュリティベンダーが使用するエイリアスとともに、引き続きGoogle Threat Intelligenceプラットフォーム上で検索可能な状態が維持されます。
「調査がまだ初期段階にある脅威クラスターについては、引き続きUNC、すなわち『未分類』の呼称を使用します」と同社は結論付けています。
翻訳元: https://www.helpnetsecurity.com/2026/07/27/google-threat-actors-naming-system/
