Google geeft hackersgroepen voortaan compleet nieuwe namen. De Google Threat Intelligence Group kondigde op vrijdag 24 juli 2026 een nieuw naamschema aan voor cybercriminelen en APT-groepen. APT staat voor advanced persistent threat, oftewel een geavanceerde en langdurige dreiging. Tot nu toe werkte het bedrijf met codes als UNC6508 en UNC6240. Die aanduidingen zeggen een lezer bijzonder weinig. Ze bieden geen enkele context en blijven lastig te onthouden. Volgens Google helpt dat verdedigers niet vooruit. Onderzoekers willen tijdens een incident meteen weten met welke tegenstander zij te maken hebben. Een willekeurige reeks cijfers levert die kennis simpelweg niet. Daarom kiest Google nu voor namen die uit twee woorden bestaan. Het tweede woord ligt vast en verwijst naar de herkomst of het type groep.
Het nieuwe schema werkt met vijf vaste tweede woorden. Castle staat voor China en Ion voor Iran. Neptune verwijst naar Noord-Korea en Relic naar Rusland. Comet is gereserveerd voor gewone cybercriminelen zonder aantoonbare band met een staat. Het eerste woord blijft de eigenlijke naam van de groep zelf. Een bekend voorbeeld maakt die opzet concreet. De aan Rusland gelieerde groep Sandworm draagt ook wel de aanduiding APT44. Onder het nieuwe schema heet deze groep voortaan Sandworm Relic. De naam vertelt daarmee in één oogopslag twee dingen. Lezers zien direct om welke groep het gaat en uit welke hoek de dreiging komt. Google verwacht dat analisten zo’n combinatie sneller onthouden dan een nummer. Het bedrijf hoopt daarmee ook op minder fouten in interne rapportages.
Google onderbouwt de keuze met een duidelijke redenering. ‘Het volgen van dreigingen zou geen geheugenoefening moeten zijn, maar eerder intuïtief’, stelt het bedrijf. Het nieuwe naamschema sluit volgens Google aan bij systemen die de industrie al langer hanteert. Beveiligingsbedrijven gebruiken namelijk allemaal hun eigen woordenlijst. Drie jaar geleden stapte Microsoft over op namen uit de meteorologie. Statelijke actoren, ransomwaregroepen en overige aanvallers kregen daar de namen van weerfenomenen. Andere leveranciers kiezen juist voor dieren, mineralen of mythologie. Google voegt met Castle, Ion, Neptune, Relic en Comet dus een extra laag toe aan die verzameling. Het bedrijf presenteert de stap niet als een nieuwe branchestandaard. Het ziet de wijziging vooral als een leesbaarder alternatief voor de eigen UNC-codes.
Die UNC-codes verdwijnen overigens niet volledig uit beeld. Ze stammen uit de werkwijze van Mandiant, het beveiligingsbedrijf dat Google in 2022 overnam. Analisten gebruiken zo’n code voor een cluster van activiteiten dat zij nog niet kunnen toeschrijven. De letters staan voor ‘uncategorized’, oftewel niet-gecategoriseerd. Pas als het bewijs sterk genoeg wordt, koppelen onderzoekers zo’n cluster aan een land of een bekende groep. Die voorzichtige aanpak heeft een duidelijke waarde. Attributie blijft in de praktijk lastig en politiek gevoelig. Een verkeerde toeschrijving kan diplomatieke gevolgen hebben. Het nieuwe schema komt dus vooral in beeld zodra de zekerheid er wel is. Groepen in het schemergebied houden naar verwachting gewoon hun nummer.
Niet iedereen reageert enthousiast op het plan. Onder het nieuwsbericht klinkt stevige kritiek van lezers. Een reageerder wijst op de simpelste oplossing van allemaal. Noem China gewoon China, Iran gewoon Iran en cybercriminelen gewoon cybercriminelen. Dan ontstaat volgens die lezer meteen de juiste associatie. Een ander vindt de codenamen vooral een vorm van marketing. Echte professionals werken volgens deze reageerder allang met de UUID’s uit de MISP Galaxy. Weer iemand anders pleit voor standaardisatie rond APT plus een nummer, gekoppeld aan één centrale database. IT’ers hoeven volgens die redenering geen namen te onthouden als software de informatie kan opzoeken. Een naam zegt zonder heldere classificatie namelijk weinig. Ook de vraag wie de namen bedenkt, roept spot op in de reacties.
De kritiek raakt wel degelijk een reëel probleem in de sector. Eén aanvalsgroep draagt vaak vijf of meer verschillende namen. Elke leverancier bekijkt een aanval namelijk vanuit een eigen gezichtspunt. De ene onderzoeker kijkt vooral naar de gebruikte malware, de andere naar de infrastructuur. Die clusters overlappen zelden exact. Daardoor ontstaat verwarring bij bedrijven die meerdere rapporten naast elkaar leggen. Beveiligingsteams verliezen kostbare tijd met het vertalen van namen. Microsoft en CrowdStrike startten eerder al een gezamenlijke vertaaltabel, waar ook Google zich bij aansloot. Een extra naamschema lost dat grondprobleem echter niet op. Het maakt de rapporten van Google hooguit toegankelijker voor een breder publiek. De echte winst zit in koppeling, niet in creativiteit.
Voor Nederlandse organisaties verandert er op korte termijn weinig. De nieuwe namen duiken vooral op in rapporten en dreigingsanalyses van Google zelf. Wie zulke stukken leest, moet de termen even leren plaatsen. Het loont om de vijf woorden alvast te noteren. Castle, Ion, Neptune, Relic en Comet keren immers in elk volgend rapport terug. Beveiligingsteams houden daarnaast hun bestaande verwijzingen het beste intact. Koppel elke nieuwe naam aan de oude UNC-code en aan de aanduiding van andere leveranciers. Zo blijft historische informatie vindbaar in het eigen systeem. De nieuwe namen maken het lezen makkelijker, maar het opsporen van aanvallers niet. Dat werk begint pas na de naamgeving.
