Principales destacados
- Google creó un nuevo sistema para identificar grupos de hackers, reemplazando códigos difíciles de memorizar por nombres formados por dos palabras.
- El cambio intenta resolver un problema cada vez mayor en la seguridad digital: diferentes empresas pueden usar distintos nombres para describir grupos o actividades que presentan alguna relación.
- Más que crear apodos, seguir el historial y el comportamiento de un grupo ayuda a las empresas a reconocer amenazas, investigar ataques y prepararse para nuevas intrusiones.
Existe una curiosidad en el mundo de la seguridad digital que puede parecer extraña para quienes están fuera de él: los grupos de hackers reciben nombres.
Algunos parecen códigos militares, como APT1 o APT41. Otros suenan como personajes de películas, animales, fenómenos naturales o incluso nombres de bandas. Fancy Bear, Lazarus Group, Scattered Spider y muchos otros han terminado entrando en el vocabulario de la industria de la ciberseguridad.
Estos nombres no suelen ser elegidos por los propios criminales. Son asignados por empresas de seguridad, investigadores y organizaciones que monitorean sus actividades.
La razón es bastante práctica. Cuando un grupo pasa años intentando infiltrarse en empresas, gobiernos u otras organizaciones, los investigadores necesitan una forma de identificar esa actividad y relacionarla con eventos anteriores.
El problema es que la cantidad de grupos y campañas ha crecido mucho.
Y fue precisamente por eso que Google decidió cambiar la forma en que nombra y sigue a estos actores.
En julio de 2026, el Google Threat Intelligence Group anunció que comenzaría a implementar un sistema unificado de nombres para grupos de amenazas. El cambio reúne sistemas que antes eran gestionados por separado por Mandiant y el antiguo Threat Analysis Group, conocido como TAG.
La propuesta es simple en apariencia, pero importante para quienes trabajan diariamente intentando descubrir quién está detrás de un ataque.
De APT1 a nombres más fáciles de recordar
Durante muchos años, nombres como APT1, APT3 y APT41 ayudaron a los investigadores a organizar información sobre diferentes grupos.
APT significa Advanced Persistent Threat, o amenaza persistente avanzada. El término suele usarse para describir operaciones sofisticadas y persistentes, especialmente aquellas relacionadas con espionaje o grupos respaldados por gobiernos.
Un ejemplo conocido es APT1, un grupo que MITRE ATT&CK asocia con una unidad del Ejército Popular de Liberación de China. El mismo grupo también aparece vinculado a nombres como Comment Crew, Comment Group y Comment Panda.
APT3 presenta una situación similar. Además de APT3, los investigadores han utilizado nombres como Gothic Panda, Pirpi, UPS Team y Buckeye para referirse a actividades consideradas relacionadas.
Y ahí es donde comienza la confusión.
Imagina una empresa que detecta un ataque y encuentra evidencia de que el intruso utiliza las mismas herramientas, infraestructura o técnicas observadas anteriormente. Un investigador puede reconocer ese comportamiento con un nombre, mientras que otro profesional, trabajando para otra empresa, puede conocer el mismo conjunto de actividades con un nombre diferente.
MITRE ATT&CK mantiene una gran base de datos para intentar organizar precisamente este escenario. La organización explica que diferentes empresas pueden seguir los mismos clústeres de actividad usando nombres distintos y que estas definiciones incluso pueden solaparse parcialmente. Por eso, MITRE registra nombres asociados, pero advierte que no deben interpretarse automáticamente como equivalencias perfectas.
En otras palabras, descubrir que dos nombres están relacionados no significa necesariamente que los investigadores tengan exactamente la misma visión sobre ese grupo.
Esta es una de las razones por las que Google quiere hacer su propio sistema más intuitivo.
En lugar de depender solo de secuencias numéricas, la empresa comenzó a utilizar lo que llama cryptonyms, nombres de dos palabras diseñados para ser más memorables.
La primera palabra identifica al actor. Puede reutilizar un término ya usado en reportes públicos o, cuando no existe un nombre previo adecuado, ser generada aleatoriamente y luego analizada por especialistas.
La segunda palabra proporciona una categoría relacionada con el origen, la atribución, la motivación o el tipo de actividad que se considera especialmente relevante para la defensa.
Google dio algunos ejemplos: CASTLE para actividades asociadas a China, ION para Irán, NEPTUNE para Corea del Norte, RELIC para Rusia y COMET para grupos cibercriminales.
Esto significa que el nuevo sistema no pretende simplemente colocar una bandera oculta en el nombre del hacker. El objetivo es transmitir información útil sin convertir el nombre en otro código que el profesional tenga que memorizar.
El nombre no es lo más importante. El historial sí
Para el público general, puede parecer que poner nombres a los hackers es solo una forma curiosa de organizar noticias.
En la práctica, hay mucho más detrás de esto.
Imagina que una empresa descubre que su red ha sido comprometida. Los especialistas responsables de la respuesta al incidente necesitan entender rápidamente qué ocurrió.
¿Cómo entró el atacante?
¿Qué herramientas utilizó?
¿Qué sistemas intentó acceder?
¿Qué información buscaba?
¿Este comportamiento ya se había observado antes?
¿Otras organizaciones han sido atacadas de forma similar?
Si el equipo logra asociar el ataque con un grupo conocido, puede comenzar la investigación con mucha más información disponible.
Es como reconocer a un criminal por su forma de actuar. Saber solo que alguien entró en una casa es poco. Saber que esa misma persona ya utilizó una técnica específica, suele atacar ciertos tipos de objetivos y sigue un patrón de comportamiento puede cambiar completamente la investigación.
Por eso la identificación de grupos se considera una herramienta de inteligencia, y no solo un ejercicio de nomenclatura.
Google explica que los nombres basados en números o identificadores diferentes entre empresas pueden requerir una memorización innecesaria. La intención del nuevo modelo es permitir que los profesionales reconozcan más rápidamente el contexto de una amenaza.
Ese contexto puede utilizarse en distintos niveles.
En el nivel más inmediato, una organización puede buscar indicadores técnicos relacionados con el grupo, como infraestructura, herramientas, malware o vulnerabilidades explotadas.
En un nivel operativo, los analistas pueden observar patrones de comportamiento. ¿Un grupo suele apuntar a un sector específico? ¿Utiliza las mismas técnicas de intrusión? ¿Permanece mucho tiempo dentro de una red?
Y existe también una capa estratégica.
Una empresa puede preguntarse qué grupos representan una amenaza más relevante para su negocio y por qué.
Esta evolución no ocurre solo porque los hackers sean más sofisticados. El volumen de información disponible también ha aumentado.
La seguridad digital dejó de ser una actividad en la que unos pocos especialistas seguían un puñado de amenazas conocidas. Hoy, las empresas de tecnología y seguridad monitorean una cantidad enorme de actividades sospechosas.
Google afirma que su nuevo sistema se implementará de forma progresiva y que, en esta primera etapa, la empresa priorizó el cambio de nombres de decenas de los grupos más activos.
Y esto es solo una parte del problema.
¿Por qué cada empresa llama al mismo hacker de forma diferente?
Esta quizá sea la parte más interesante de la historia.
A primera vista, parece que sería fácil resolver la confusión. Bastaría con que todas las empresas acordaran una lista única de nombres.
Pero el mundo real es más complicado.
Una empresa de seguridad puede tener acceso a ciertos incidentes. Otra puede contar con telemetría de millones de dispositivos. Una tercera puede seguir campañas de phishing. Una cuarta puede trabajar directamente en la respuesta a incidentes de grandes empresas.
Cada una observa una parte diferente del mismo fenómeno.
Por lo tanto, es posible que dos investigadores tengan información distinta sobre un mismo grupo.
También puede ocurrir lo contrario: dos actividades inicialmente consideradas parte del mismo grupo pueden más tarde revelar características diferentes.
La propia historia de Mandiant muestra cómo esta clasificación puede cambiar.
La empresa creó la designación UNC, abreviatura de “uncategorized”, para seguir clústeres de actividad que aún no tenían evidencia suficiente para una clasificación más consolidada.
Según Mandiant, estos grupos pueden crecer, unirse a otros clústeres, separarse o eventualmente evolucionar hacia una clasificación más definida a medida que aparecen nuevas evidencias.
Esto es importante porque muestra que el nombre de un hacker no debe tratarse como una verdad absoluta.
Es una herramienta de organización basada en la evidencia disponible en ese momento.
Un caso particularmente interesante fue UNC2452, un grupo utilizado por Mandiant para seguir la actividad relacionada con el ataque a SolarWinds. En 2022, después de reunir suficiente evidencia, la empresa concluyó que esa actividad debía atribuirse a APT29 e incorporó UNC2452 a ese grupo.
Es decir, un nombre puede desaparecer no porque el ataque deje de existir, sino porque los investigadores han comprendido mejor quién estaba detrás.
Este proceso ayuda a explicar por qué es tan difícil crear una lista mundial y definitiva de nombres.
MITRE ATT&CK también reconoce esta dificultad. Su base de datos reúne grupos, técnicas, campañas y nombres asociados, pero deja claro que las asociaciones reflejan lo que ha sido reportado públicamente y que los investigadores deben realizar análisis adicionales cuando sea necesario.
El nuevo sistema de Google no elimina los nombres antiguos
Quienes trabajan en seguridad digital no tendrán que olvidar simplemente APT1, APT41 u otros nombres históricos.
Google afirma que los nombres anteriores seguirán indexados y siendo buscables en la plataforma Google Threat Intelligence. Además, los mapeos con MITRE ATT&CK y los alias utilizados por otros proveedores se mantendrán.
Esto es fundamental.
Imagina una empresa que ha pasado años construyendo sus sistemas de detección basándose en informes antiguos. Eliminar todos los nombres anteriores generaría aún más confusión.
La estrategia de Google se parece más a una traducción entre sistemas.
El profesional podrá encontrar el nuevo nombre y, al mismo tiempo, consultar los nombres anteriores utilizados para ese actor.
El cambio tampoco significa que todos los grupos recibirán inmediatamente un nuevo nombre.
Google afirma que el proceso será gradual. Mientras un clúster siga en investigación, la empresa continuará utilizando designaciones UNC, siguiendo la lógica de “no categorizado”.
Esto tiene sentido porque atribuir una identidad definitiva a un grupo puede llevar años.
Para llegar a una conclusión sólida, los investigadores deben cruzar evidencia de distintos ataques, infraestructura, códigos maliciosos, herramientas, víctimas, objetivos y patrones de comportamiento.
En algunos casos, incluso después de años, todavía puede existir incertidumbre.
Grupos estatales vs. criminales comunes
Otro detalle importante es que no todos los hackers se comportan de la misma manera.
Los grupos vinculados a gobiernos suelen tener objetivos más consistentes. Una operación puede estar relacionada con espionaje, recolección de información estratégica, intereses militares o fines políticos.
Esto no significa que sean fáciles de rastrear. Al contrario: algunos son extremadamente cuidadosos y cambian herramientas e infraestructura para dificultar su identificación.
Pero existe una continuidad que ayuda a los investigadores.
En cambio, los grupos criminales pueden tener estructuras mucho más inestables.
Los miembros pueden salir. Nuevos integrantes pueden entrar. Las bandas pueden dividirse. Un grupo puede cambiar de nombre o empezar a trabajar con otra organización.
También existen grupos que funcionan como proveedores de servicios para otros criminales.
El ecosistema del ransomware es un ejemplo de esto. Una operación puede involucrar distintos participantes, desde quienes obtienen el acceso inicial hasta quienes roban datos o gestionan la extorsión.
Esto hace que la atribución sea mucho más compleja.
MITRE, por ejemplo, sigue grupos motivados financieramente que han cambiado sus estrategias con el tiempo. FIN8, activo desde al menos 2016, es un ejemplo de un grupo asociado a ataques financieros que posteriormente comenzó a utilizar diferentes familias de ransomware.
También existen grupos conocidos por una cantidad impresionante de nombres.
Deep Panda, por ejemplo, aparece en MITRE ATT&CK asociado a nombres como Shell Crew, WebMasters, KungFu Kittens y PinkPanther. La base de datos señala que algunos investigadores han considerado una posible relación con APT19, pero que esa equivalencia no es clara en la información pública.
Este tipo de situaciones es precisamente lo que convierte el seguimiento de amenazas en un enorme trabajo de investigación.
¿Por qué esto importa para quienes no trabajan en seguridad?
Puede parecer un tema lejano para el usuario común, pero tiene consecuencias prácticas.
Cuanto más rápido una empresa identifica una amenaza, mayores son sus posibilidades de evitar que un ataque avance.
Si un grupo conocido suele explotar una vulnerabilidad específica, las organizaciones que lo saben pueden priorizar su corrección.
Si un grupo suele robar credenciales, los equipos de seguridad pueden reforzar la autenticación y monitorear comportamientos sospechosos.
Si una organización sabe que un actor determinado suele apuntar a su sector, puede aumentar la vigilancia sobre empleados, sistemas y proveedores.
La inteligencia de amenazas funciona, por tanto, como una especie de memoria colectiva de la seguridad digital.
Un ataque deja pistas. Otros ataques dejan pistas similares. Al conectar esa información, los investigadores pueden construir una imagen más completa del adversario.
Mandiant ha descrito este proceso como una forma de convertir observaciones en acciones defensivas. Según la empresa, el seguimiento de grupos puede ayudar desde medidas tácticas, como el bloqueo de indicadores y correcciones, hasta decisiones estratégicas sobre qué amenazas representan mayor riesgo.
Por eso el historial de un grupo puede ser más valioso que su nombre.
El nombre facilita la comunicación.
El historial permite actuar.
La guerra digital es demasiado grande para depender de la memoria
El cambio anunciado por Google ocurre en un momento en que el panorama de amenazas se vuelve cada vez más complejo.
Los grupos no solo están aumentando en número. También están incorporando nuevas tecnologías.
En 2026, el propio Google Threat Intelligence Group reportó casos en los que adversarios utilizan inteligencia artificial en distintas partes del ciclo de ataque, incluyendo reconocimiento, desarrollo de malware y explotación de vulnerabilidades.
Esto crea una situación curiosa.
Mientras los defensores intentan entender quién ataca, cómo operan los intrusos y cuáles son sus objetivos, los atacantes están obteniendo nuevas herramientas para acelerar sus operaciones.
En este entorno, simplemente memorizar nombres deja de ser suficiente.
Es necesario relacionar nombres, técnicas, infraestructura, herramientas, campañas y comportamientos.
El nuevo sistema de Google es un intento de hacer que esa relación sea más intuitiva.
La empresa no afirma haber resuelto el problema de nomenclatura de la industria. De hecho, reconoce que distintas organizaciones seguirán teniendo visiones diferentes sobre los mismos actores porque ninguna tiene visibilidad total del panorama de amenazas.
Quizá esta sea la parte más importante del cambio.
No existe un catálogo perfecto de hackers en el mundo.
Existen investigadores observando fragmentos de una actividad enorme e intentando conectar esos fragmentos de la mejor manera posible.
Al final, los nombres son una herramienta para ver patrones
El nombre de un grupo de hackers puede parecer solo un apodo curioso, pero representa un intento de convertir un problema extremadamente complejo en algo que los humanos puedan seguir.
Cuando un investigador dice que una actividad está relacionada con un grupo conocido, no está solo poniendo una etiqueta.
Está intentando conectar eventos.
Un ataque ocurrido hoy puede estar relacionado con otro observado meses atrás. Una herramienta encontrada en una máquina puede haber aparecido en otro incidente. Una infraestructura utilizada por un atacante puede revelar conexiones con campañas anteriores.
De esa combinación de pequeñas pistas surge la inteligencia de amenazas.
Google intenta hacer este proceso más simple con nombres que sean fáciles de recordar y que aporten contexto.
Los nombres antiguos seguirán existiendo. Los alias seguirán siendo necesarios. Y distintas empresas probablemente seguirán en desacuerdo en algunos casos.
Esto no es necesariamente un fracaso.
En realidad, es la consecuencia de un mundo en el que los investigadores rara vez pueden ver el panorama completo.
El objetivo es acercarse lo más posible a una visión compartida.
Para quienes están fuera del área de seguridad, puede parecer extraño que los hackers reciban nombres como Castle, Ion, Neptune o Relic.
Pero para quienes deben defender una red contra ellos, la lógica es mucho más simple: es más fácil combatir una amenaza cuando puedes reconocer su comportamiento, recordar lo que ya ha hecho y entender lo que podría hacer después.
Y, en ese sentido, el nombre es solo el comienzo de la investigación.
