Pourquoi les groupes de pirates recoivent-ils des noms de code ?

Lorsqu'un gang de rancongiciel ou un groupe d'espionnage soutenu par un Etat est detecte pour la premiere fois, les entreprises de cybersecurite lui attribuent generalement un nom de code bien avant que son identite reelle ne soit connue. Cette pratique peut sembler arbitraire vue de l'exterieur, mais elle repond a une logique etonnamment systematique.

Les grandes entreprises technologiques disposent chacune de leur propre systeme de denomination pour les groupes suivis par leurs equipes de renseignement sur les menaces. Les unites de renseignement de Google ont historiquement utilise des noms d'elements chimiques et de metaux pour les acteurs bien etablis, tout en attribuant des codes numeriques temporaires "UNC" aux groupes pas encore pleinement caracterises.

Microsoft a fait basculer l'ensemble de sa taxonomie vers un systeme a theme meteorologique il y a quelques annees : les groupes soutenus par un Etat portent des noms de types de tempetes, tandis que les groupes criminels a motivation financiere portent des noms comme "Blizzard". CrowdStrike, de son cote, privilegie des combinaisons d'un animal et d'un adjectif national.

La raison principale de ces systemes est de permettre aux equipes de defense de reconnaitre rapidement la meme menace dans differents rapports. L'empreinte technique d'un groupe, ses outils, les secteurs cibles et ses methodes d'attaque, a tendance a rester stable meme lorsque son identite reelle demeure inconnue pendant des mois, voire indefiniment.

Les experts notent que la denomination exige egalement un equilibre delicat : les noms de code doivent rester identifiables sans romantiser un groupe ni lui offrir une notoriete indesirable. C'est l'une des raisons pour lesquelles certaines entreprises evitent d'utiliser les noms que les pirates se choisissent eux-memes, preferant leur propre taxonomie interne.

Un autre facteur majeur est le defi de l'attribution. Prouver de maniere definitive quel pays ou quelle organisation se cache derriere une attaque est extremement difficile et peut avoir un poids diplomatique important ; utiliser un nom de code neutre aide les entreprises a eviter des accusations directes aux consequences geopolitiques potentielles.

La refonte recente menee par Google vise a fusionner les systemes de denomination auparavant distincts utilises par ses differentes equipes de renseignement sur les menaces, dont Mandiant, rachetee par Google, reduisant ainsi la confusion pour les analystes travaillant sur les deux fronts.

L'absence d'une norme unique a l'echelle du secteur signifie que le meme groupe est souvent suivi sous des noms differents par des entreprises differentes, ce qui peut compliquer la tache des defenseurs pour etablir des liens entre les rapports. Certains chercheurs ont appele a une norme sectorielle commune, mais le marche concurrentiel du renseignement ne s'est pas encore accorde sur une solution.

Les systemes de denomination comportent aussi une dimension relations publiques : un nom de code memorable peut aider le rapport d'une entreprise sur une menace a attirer davantage l'attention des medias, ce qui pousse certains critiques a affirmer que la denomination est parfois autant guidee par le marketing que par la necessite technique.

En definitive, les noms de code attribues aux groupes de pirates sont bien plus qu'une curiosite : ils constituent un outil pratique permettant aux equipes de defense de communiquer rapidement face a un paysage de menaces complexe et en constante evolution.