Le 24 juillet 2026, Google a annoncé un nouveau système de nommage pour les groupes de hackers suivis par ses équipes. Le Google Threat Intelligence Group (GTIG), né de la fusion de l’ancien Threat Analysis Group (TAG) et de Mandiant (racheté en 2022), adopte des cryptonymes à deux mots. Une évolution logique en interne, mais qui ne règle pas le problème de fond de la cybersécurité mondiale : personne ne parle le même langage.
Le problème de départ : trop de noms pour un seul acteur
La communauté cybersécurité a un problème de vocabulaire. Faute de connaître l’identité réelle des groupes de hackers étatiques, chaque éditeur leur invente ses propres surnoms. Le résultat est une tour de Babel.
Fancy Bear, Forest Blizzard, Strontium, APT28, Sofacy : il s’agit du même groupe, attribué aux services de renseignement militaire russes (GRU). Selon Numerama, un acteur comme Sandworm peut porter une douzaine d’alias selon qui le traque.
- CrowdStrike utilise des ours pour la Russie (Fancy Bear, Voodoo Bear)
- Microsoft nomme ses acteurs avec des typhons et blizzards (Seashell Blizzard, Forest Blizzard)
- Palo Alto Networks s’appuie sur des constellations
- Google/Mandiant utilisait jusqu’ici les préfixes APT (Advanced Persistent Threat) avec des numéros séquentiels
Ce chaos a une conséquence directe pour les équipes de sécurité : quand tu lis un rapport de CrowdStrike et un autre de Microsoft sur la même menace, tu dois croiser les tables d’équivalences toi-même. C’est du temps perdu, et une source d’erreurs.
Ce que Google change concrètement
Depuis la fusion avec Mandiant, Google avait un problème supplémentaire : deux nomenclatures internes qui coexistaient sans cohérence. TAG avait ses étiquettes, Mandiant avait les siennes. Un même groupe pouvait porter deux noms différents… dans la même entreprise.
Le GTIG résout ce doublon avec un système à deux mots :
- Premier mot : l’identifiant propre du groupe, repris autant que possible d’une appellation déjà connue dans la littérature publique pour maintenir une continuité
- Second mot : la catégorie, basée sur l’origine géographique ou la motivation de l’acteur
Exemple concret : Sandworm, le groupe russe lié au GRU, devient Sandworm Relic. Le suffixe "Relic" signale l’attribution étatique russe.
Le déploiement est progressif. Google a commencé par les groupes les plus actifs et les plus suivis. Les anciens noms (APT44, Sandworm, etc.) restent consultables dans la plateforme Google Threat Intelligence, avec les correspondances MITRE ATT&CK et les alias des autres éditeurs. Les clusters encore trop peu documentés conservent leur préfixe UNC (pour "uncategorized").
Ce que ce changement ne résout pas
Soyons clairs sur ce que cette initiative apporte réellement.
En interne, c’est un vrai gain. Une équipe GTIG peut maintenant parler d’un acteur sans que son interlocuteur doive deviner si on parle du vocabulaire TAG ou du vocabulaire Mandiant. Pour un groupe de plusieurs centaines d’analystes, c’est non négligeable.
Mais Google reconnaît lui-même que ce nouveau système ne règle pas la fragmentation entre éditeurs. Chaque organisation a sa propre visibilité sur le paysage des menaces. Microsoft ne voit pas les mêmes victimes que CrowdStrike, qui ne voit pas les mêmes que Palo Alto. Les nomenclatures divergentes ne sont pas qu’un problème de nommage : elles reflètent des angles d’observation différents.
Concrètement, un analyste SOC qui lit des rapports de plusieurs éditeurs différents devra toujours maintenir sa propre table de correspondance. La charge de travail de déduplication ne disparaît pas.
C’est un problème de coordination de l’ensemble du secteur, pas d’un seul acteur. Et Google, même avec son poids, ne peut pas imposer sa nomenclature à CrowdStrike ou Microsoft.
MITRE ATT&CK : la vraie tentative d’harmonisation
Si tu travailles sur la threat intelligence, tu connais déjà MITRE ATT&CK, la base de connaissances commune qui tente de standardiser les tactiques, techniques et procédures (TTP) des acteurs malveillants. C’est l’initiative la plus sérieuse à ce jour pour créer un vocabulaire partagé entre éditeurs.
Le fait que Google maintienne les correspondances MITRE ATT&CK dans sa plateforme va dans le bon sens. Mais MITRE ATT&CK standardise les comportements, pas les identités des groupes. Le problème des noms reste entier.
La question de la fragmentation en IA suit une logique similaire : quand chaque acteur majeur définit ses propres standards, la confusion s’installe. J’avais d’ailleurs analysé un cas proche avec l’open-washing en IA, où "open source" signifie des choses très différentes selon qui l’emploie.
Ce que ça change pour toi en pratique
Si tu gères une stack de cybersécurité ou que tu consommes des rapports de threat intelligence, voilà ce que ça implique concrètement.
Sur la plateforme Google Threat Intelligence, tu vas voir apparaître progressivement les nouveaux cryptonymes à deux mots. Les anciens noms APT restent accessibles, donc pas de rupture immédiate dans tes workflows.
Dans tes outils d’analyse, la correspondance avec MITRE ATT&CK est maintenue. Si ton SIEM ou ton outil de threat intel consomme des feeds Google/Mandiant, le mapping avec les TTP connus devrait tenir.
Dans tes échanges inter-équipes, le changement le plus visible sera surtout si tu travailles déjà avec des données Mandiant et TAG en parallèle. La consolidation simplifie la vie des équipes qui utilisaient les deux sources.
En revanche, si ton problème principal était de faire correspondre les rapports Google avec ceux de Microsoft ou CrowdStrike, ce changement ne t’aide pas davantage qu’avant.
Le sujet rejoint d’autres évolutions de fond dans le secteur tech, notamment la façon dont les grandes plateformes restructurent leurs outils après des fusions. On a vu une dynamique similaire avec le rachat du Raise Summit par Hyve dans l’événementiel IA, où l’harmonisation post-acquisition prend du temps.
Mon avis
Google fait le ménage dans sa maison, c’est légitime et c’est probablement dû attendre depuis 2022. Un doublon interne entre TAG et Mandiant, c’est un problème réel pour des équipes qui produisent des rapports lus par des milliers d’organisations.
Mais la présentation autour de cette annonce me semble un peu ambitieuse. "Améliorer la cohérence de l’écosystème", c’est le bénéfice interne. L’écosystème global, lui, reste aussi fragmenté qu’avant. L’industrie de la cybersécurité a besoin d’un accord de place sur les identifiants, pas d’une initiative unilatérale supplémentaire. En attendant, les tables de correspondance restent la réalité du quotidien pour tout analyste sérieux.
Pour ceux qui veulent aller plus loin sur les enjeux de fragmentation des standards dans la tech, j’explore ces sujets régulièrement sur mon hub principal.
À lire aussi
FAQ
Qu’est-ce que le Google Threat Intelligence Group (GTIG) ?
Le GTIG est la nouvelle entité Google née de la fusion du Threat Analysis Group (TAG) et de Mandiant, racheté en 2022. Il centralise la threat intelligence de Google sous une seule structure avec une nomenclature unifiée.
Pourquoi Sandworm s’appelle maintenant "Sandworm Relic" ?
Le nouveau système à deux mots utilise un premier mot pour l’identifiant du groupe (repris de la littérature existante) et un second pour indiquer l’origine ou la motivation. "Relic" signale une attribution étatique russe.
Les anciens noms APT disparaissent-ils ?
Non. Les anciens identifiants (APT28, APT44, etc.) restent consultables dans la plateforme Google Threat Intelligence, avec les correspondances MITRE ATT&CK et les alias d’autres éditeurs. La transition est progressive.
Ce changement résout-il la fragmentation entre CrowdStrike, Microsoft et Google ?
Non, et Google le reconnaît lui-même. Chaque éditeur conserve sa propre nomenclature. Un même groupe peut toujours porter des noms différents selon la source consultée. La table de correspondance reste indispensable.
Qu’est-ce que le préfixe UNC dans la nomenclature Google ?
UNC signifie "uncategorized". Google l’utilise pour les clusters d’activité malveillante encore trop peu documentés pour être formellement attribués à un groupe ou un État spécifique.
