Google의 위협 인텔리전스 팀인 Google Threat Intelligence Group(GTIG)이 해커 집단 등의 “위협 행위자”를 추적하기 위한 명명 규칙을 刷新했습니다. 새로운 방식에서는 중국 관련 집단에는 “CASTLE”, 러시아 관련 집단에는 “RELIC”과 같은 단어를 이름의 후반에 붙임으로써 이름에서 공격자의 출신, 동기, 활동 유형을 파악하기 쉬워집니다. Updated Cyber Threat Actor Naming System | Google Cloud Blog https://cloud.google.com/blog/topics/threat-intelligence/updated-cyber-threat-actor-naming-system?hl=en
Google의 최정상 해커 헌터가 왜 해킹 그룹이 꼬리 이름을 얻는지 설명합니다 | TechCrunch https://techcrunch.com/2026/08/08/googles-top-hacker-hunter-explains-why-hacking-groups-get-codenames/ 보안 기업은 이전부터 사이버 공격을 수행하는 집단을 지속적으로 추적하기 위해 “APT1”, “Fancy Bear”와 같은 독자적인 이름을 붙여왔습니다. 공격자의 과거 행동이나 표적을 동일한 식별명 아래에서 지속적으로 추적하면 공격을 받은 조직이 “누가 어떤 목적을 가지고 공격하고 있을 가능성이 있는가”를 빠르게 판단할 수 있기 때문입니다. GTIG의 최고 기술 책임자를 맡는 셰인 하ントリー는 TechCrunch에 공격자의 행동이나 과거 활동을 파악하는 것이 인시데ント에 대한 대응이나 방어책을 생각하는 데 중요하다고 설명했습니다.
한편, 사이버 공격을 추적하는 기업마다 다른 명명 규칙이 사용되고 있다는 문제가 있습니다. 게다가 Google에서는 인수 합병한 보안 기업 Mandiant와 Google의 Threat Analysis Group(TAG)이 각각 다른 방법으로 공격자를 추적했습니다. Google에 따르면 GTIG의 발족으로 인해 양측의 추적 시스템을 통합해야 할 필요가 생겼다고 합니다. GTIG의 주임 분석가인 존 하ルトクイ스트에 따르면 Google은 공격자들의 일련의 활동을 담은 “활동 클러스터”를 5000건 이상 추적하고 있었으며, 단순한 연번이나 여러 식별 방식을 외우는 것만으로는 관리하기 어려웠습니다. 그래서 GTIG가 채택한 것이 覚えやすい2つの単語を組み合わせる新しい命名規則입니다. 1つ目の単語에는 공격자를 구분하기 위한 고유한 이름을 사용합니다. 과거 공개 정보에서 정착된 이름이 있다면 가능한 한 이어서, 적절한 이름이 없으면 偏りを避けるためランダムに生成した候補를 GTIG의 분석가가 확인합니다.
두 번째 단어는 공격자의 출신 및 동기, 활동 유형을 나타냅니다. 구체적으로 중국 관련 위협 행위자(Threat Actor)는 “CASTLE”, 이란은 “ION”, 북한은 “NEPTUNE”, 러시아는 “RELIC”이며, 사이버 범죄자에게는 “COMET”이 할당됩니다. 이름만 보더라도 공격자에 대한 최소한의 단서를 얻을 수 있도록 함으로써 기존의 “APT+숫자”와 같은 명칭을 암기하는 부담을 줄이는 것입니다. 다만, 새로운 방식을 도입하더라도 업계 전체의 해커 집단 명칭이 통일되는 것은 아니었습니다. 보안 기업마다 수집 가능한 데이터와 관측 범위가 다르기 때문에, 서로 다른 기업이 같은 공격자를 추적하더라도 완전히 동일한 집단으로 취급될 수 없다는 것입니다. 한트리(Hントリー) 氏は“아무도 위협의 전체적인 그림을 완전히 파악하고 있는 것은 아니다”라는 취지 설명하고 있으며, 기업 간 정보 공유만으로는 명칭의 차이를 완전히 해소할 수 없다고 지적합니다. GTIG는 우선 활동이 활발한 수십 개의 그룹부터 새로운 명칭으로의 전환을 진행하고 있습니다. 기존 명칭도 Google Threat Intelligence(GTI) 상에서 검색 가능한 상태를 유지하며, 사이버 공격의 수법 등을 정리하는 “MITRE ATT&CK”와의 대응 관계나 다른 회사에서 사용하고 있는 별칭도 남겨둡니다. 또한, 조사가 시작된 지 얼마 되지 않아 정체를 충분히 분류할 수 없는 집단에 대해서는 기존과 같이 “UNC”라는 식별명을 사용한다는 것입니다. 구글(Google)은 앞으로도 단계적으로 명칭의 변경을 진행하고, 복잡한 위협 행위자의 추적을 조금이나마 더 쉽게 만들어갈 것이라고 밝혔습니다.
* 관련 기사
해커 집단을 지칭하는 명칭이 다양하여 대응이 늦어질 수 있다는 우려로 마이크로소프트(Microsoft)와 크라우드스트라이크(CrowdStrike)가 명칭을 통일하는 프로젝트를 시작 – GIGAZINE
마이크로소프트(Microsoft), Uber, NVIDIA, Rockstar Games 등에 해킹한 국제 해커 집단 “LAPSUS$”의 주요 멤버가 10대 소년으로 판명 – GIGAZINE
애인이었던 조사에서 정치인의 악평 삭제까지 다양한 “해킹”을 많이 행하는 인도 해커에게 잠입 취재 – GIGAZINE
독재 국가 벨라루시(Belarus)의 반체제 해커가 정권 지지자 포함 수백만 명의 개인 정보를 빼돌리는 것 – GIGAZINE
전혀 다른 운명을 걸었던 2명의 소년 해커 이야기 – GIGAZINE
러시아 해커 집단이 기업의 기술 지원을 위장하여 Microsoft Teams를 통해 피싱 공격을 시도한 것으로 밝혀짐 – GIGAZINE
Cloudflare가 AI 에이전트용 브라우저 “Kitesurf”를 출시, Chromium보다 CPU 및 메모리 소비를 대폭 감소
마이크로소프트(Microsoft)가 Windows 11 PC에 실수로 새로운 OneDrive 앱을 설치한 것을 인정하고 현재로서는 쉽게 삭제하는 방법이 없다고 설명
2026년 08월 10일 11시 43분 00초 보안, Posted by log1d_ts
Google revamps hacker group naming convention…를 읽어보세요.
최근 24시간 (1시간마다 업데이트, 5분 간격으로는 여기)
방해하여 죄송합니다. 독자를 위한 기사를 계속 게시하기 위해, 서버 비용으로 300엔을 기부해 주시겠습니까?
기꺼리 이메일로 리마인드させていただきます.
계속해서 기사를 읽어주세요.
원문 보기 | 출처: Gigazine