Googleがハッカー集団の命名規則を刷新、中国系は「CASTLE」ロシア系は「RELIC」で識別しやすく

Googleの脅威インテリジェンスチームであるGoogle Threat Intelligence Group(GTIG)が、ハッカー集団などの「脅威アクター」を追跡するための命名規則を刷新しました。新方式では中国に関連する集団には「CASTLE」、ロシアに関連する集団には「RELIC」といった単語を名前の後半に付けることで、名前から攻撃者の出自や動機、活動の種類を把握しやすくなります。

Updated Cyber Threat Actor Naming System | Google Cloud Blog
https://cloud.google.com/blog/topics/threat-intelligence/updated-cyber-threat-actor-naming-system?hl=en

Google's top hacker hunter explains why hacking groups get codenames | TechCrunch
https://techcrunch.com/2026/08/08/googles-top-hacker-hunter-explains-why-hacking-groups-get-codenames/

セキュリティ企業は以前から、サイバー攻撃を行う集団を継続的に追跡するため「APT1」「Fancy Bear」といった独自の名前を付けてきました。攻撃者の過去の行動や標的を同じ識別名の下で継続的に追跡しておけば、攻撃を受けた組織が「誰が何を目的に攻撃している可能性があるのか」を素早く判断できるためです。GTIGの最高技術責任者を務めるシェーン・ハントリー氏は、攻撃者の行動や過去の活動を把握することがインシデントへの対応や防御策を考える上で重要だとTechCrunchに説明しています。

一方で、サイバー攻撃を追跡する企業ごとに異なる命名規則が使われているという問題があります。さらにGoogleでは、買収したセキュリティ企業MandiantとGoogleのThreat Analysis Group(TAG)がそれぞれ別の方法で攻撃者を追跡していました。Googleによると、GTIGの発足によって両者の追跡システムを統合する必要が生じたとのこと。GTIGの主任アナリストであるジョン・ハルトクイスト氏によると、Googleは攻撃者による一連の活動をまとめた「活動クラスター」を5000以上も追跡しており、単純な連番や複数の識別方式を覚えるだけでは扱いづらくなっていました。

そこでGTIGが採用したのが、覚えやすい2つの単語を組み合わせる新しい命名規則です。1つ目の単語には攻撃者を区別するための固有の名前を使用します。過去の公開情報で定着した名前があれば可能な限り引き継ぎ、適切な名前がなければ偏りを避けるためランダムに生成した候補をGTIGのアナリストが確認します。

2つ目の単語は攻撃者の出自や動機、活動の種類を表します。具体的には中国に関連する脅威アクターが「CASTLE」、イランが「ION」、北朝鮮が「NEPTUNE」、ロシアが「RELIC」です。また、サイバー犯罪者には「COMET」が割り当てられます。名前を見ただけで攻撃者について最低限の手掛かりを得られるようにすることで、従来の「APT＋数字」のような名称を丸暗記する負担を減らすというわけです。

ただし、新方式を導入しても業界全体のハッカー集団の名前が統一されるわけではありません。セキュリティ企業ごとに収集できるデータや観測範囲が異なるため、別々の企業が同じ攻撃者を追跡していても完全に同一の集団として扱えるとは限らないとのこと。ハントリー氏も「誰も脅威の全体像を完全に把握できているわけではない」という趣旨の説明をしており、企業間で情報を共有するだけでは命名の違いを完全には解消できないとしています。

GTIGはまず活動が活発な数十のグループから新名称への切り替えを進めています。従来の名称もGoogle Threat Intelligence(GTI)上で検索できる状態を維持し、サイバー攻撃の手口などを整理する「MITRE ATT&CK」との対応関係や他社が使用している別名も残されます。また、調査が始まったばかりで正体を十分に分類できない集団については従来通り「UNC」という識別名を使用するとのこと。Googleは今後も段階的に名称の変更を進め、複雑な脅威アクターの追跡を少しでも分かりやすくしていくと述べています。