Nombres como LockBit, Fancy Bear, BlackCat o Scattered Spider son más que conocidos en la industria de la ciberseguridad. Proyectan la imagen de un grupo perfectamente organizado, con una identidad definida y objetivos claros. Sin embargo, Check Point® Software Technologies Ltd., pionero y líder global en soluciones de ciberseguridad, alerta de que en el ámbito de la inteligencia de amenazas la etiqueta rara vez cuenta la historia al completo. Confundir la identidad pública creada por un atacante con las etiquetas analíticas asignadas por los investigadores puede llevar a los equipos de defensa a sobreestimar certezas y perder de vista el verdadero riesgo técnico detrás de la amenaza.

La atribución de nombres en el ecosistema del cibercrimen procede de dos fuentes completamente opuestas. Por un lado, las marcas creadas por los propios atacantes sirven como herramientas de propaganda, reclutamiento y extorsión. Grupos de ransomware y colectivos ciberactivistas emplean notas de rescate, canales de Telegram, foros extraños y sitios de filtraciones para construir una reputación. Un nombre impactante y fácil de recordar refuerza su capacidad de intimidación durante una negociación y les otorga credibilidad en una economía criminal altamente competitiva.

Por otro lado, los nombres asignados por la comunidad de investigación (como los integrados en el marco de trabajo MITRE ATT&CK) responden a agrupaciones analíticas de comportamiento. Cuando los expertos detectan patrones repetidos en herramientas, infraestructura de control, muestras de código o técnicas utilizadas (TTPs), crean un identificador para rastrear el conjunto de actividad. Estos nombres no implican necesariamente conocer la identidad de los individuos reales, sino que funcionan como un atajo operativo para conectar incidentes aislados y evaluar el riesgo corporativo.

Dado que diferentes empresas de ciberseguridad e investigadores observan fragmentos distintos de un mismo incidente (unas analizan el vector de entrada mediante phishing, otras las muestras de malware o los datos de respuesta a incidentes), un único actor de amenazas puede acumular decenas de alias.

Un claro ejemplo de esta complejidad es el grupo conocido como APT29. Registrado por MITRE ATT&CK como un clúster de actividad vinculado a Rusia, a este mismo actor se le denomina de formas muy distintas según la fuente o la campaña analizada:
· Cozy Bear: nombre público ampliamente difundido por CrowdStrike y los medios de comunicación.
· The Dukes: denominación histórica utilizada por F-Secure para sus campañas de ciberespionaje.
· NOBELIUM / Midnight Blizzard: Nombres correlativos empleados por Microsoft, vinculados a los ciberataques contra la cadena de suministro de SolarWinds.
· UNC2452 / UNC3524: identificadores no categorizados asignados por Mandiant antes de fusionar los datos con APT29.
· SolarStorm: etiqueta usada por Palo Alto Networks Unit 42 durante las investigaciones del mismo incidente.
· Check Point Exposure Management: correlaciona más de 30 identificadores adicionales asociados a este mismo grupo (como Cloaked Ursa, Dark Halo, ITG11 o CloudLook).

El escenario operativo se complica aún más debido al constante rebranding de los grupos de ransomware. Estas organizaciones cambian de nombre con frecuencia para esquivar sanciones internacionales, alejar la atención de las fuerzas del orden o recuperarse de disputas internas y filtraciones. Además, la presencia de código compartido entre dos ataques no prueba automáticamente que se trate de la misma organización, ya que el software malicioso suele venderse, alquilarse a través de programas de afiliados o reutilizarse a partir de herramientas filtradas.

Por ello, determinar si una nueva amenaza es un cambio de marca, una escisión o simplemente un actor independiente utilizando código antiguo exige un juicio analítico cuidadoso que evalúe la infraestructura, los patrones de víctimas y el contexto operativo completo.

Check Point Software enfatiza que la inteligencia de amenazas solo aporta valor real cuando se traduce en decisiones y medidas defensivas prioritarias. Conocer el nombre mediático de un grupo no detiene una intrusión; identificar los activos expuestos, las vulnerabilidades explotables y las rutas de ataque que dicho grupo podría utilizar dentro de la infraestructura corporativa sí lo logra.

A través de soluciones como Check Point Exposure Management, las empresas pueden ir más allá de los alias. La plataforma conecta la inteligencia sobre actores de amenazas con la realidad del entorno de cada empresa, mostrando no solo quién está detrás de la actividad, sino si esa actividad puede alcanzar a la organización, qué debilidades deben corregirse en primer lugar y cómo aplicar las protecciones necesarias de manera segura.