구글이 해킹 그룹을 식별하고 추적하는 방식에 큰 변화를 주었습니다. 지난달 구글은 기존의 복잡한 APT(Advanced Persistent Threat) 번호 체계를 버리고, 기억하기 쉬운 무작위 이름과 국가 이니셜을 결합한 새로운 코드명 시스템을 도입했습니다. 이는 수십 년간 이어져 온 사이버 보안 업계의 해킹 그룹 명명 방식에 명확성을 더하고, 위협 대응 효율성을 높이기 위한 중요한 움직임입니다.
새로운 구글의 명명법은 간단합니다. 해킹 그룹에 무작위로 선정된 첫 번째 이름(예: Castle, Ion, Neptune, Relic)을 부여하고, 두 번째 단어의 첫 글자로 해당 그룹의 추정 국가를 나타냅니다. 예를 들어, 중국은 'Castle', 이란은 'Ion', 북한은 'Neptune', 러시아는 'Relic'과 같이 이니셜이 국가를 상징합니다. 구글 위협 인텔리전스 그룹(Google Threat Intelligence Group)의 최고기술책임자(CTO) 셰인 헌틀리(Shane Huntley)는 이번 개편이 사내외 보안 연구원들에게 명확성을 제공하기 위함이라고 밝혔습니다. 2010년대 초반, 기업들이 사이버 공격 보고서를 발표하며 해커들에게 이름을 붙이기 시작했을 때, 지금처럼 많은 위협 그룹이 생겨날 것이라고는 예상하지 못했다고 합니다. 현재 구글은 전 세계 5,000개 이상의 '활동 클러스터'를 추적하고 있으며, 대부분의 선진국이 자체적인 사이버 역량과 해킹 그룹을 보유하고 있다고 덧붙였습니다.
해킹 그룹에 이름을 부여하고 추적하는 것은 단순한 학술적 작업이 아닙니다. 헌틀리는 누가 누구를 어떻게 공격하는지에 대한 기본적인 이해를 구축하여 조직이 위협을 더 빠르게 인식하고, 대비하며, 이상적으로는 막거나 최소한 사건을 더 신속하게 조사할 수 있도록 돕는 것이 목표라고 설명했습니다. 특정 공격자의 행동 양식, 과거 활동, 목표 등을 파악하는 것은 침해 사고 대응 및 위협 방어 전략 수립에 매우 중요합니다. 특히 라자루스 그룹(Lazarus Group)과 같은 국가 지원 해커들은 목표와 활동이 비교적 일관적이어서 추적이 용이하지만, 사이버 범죄 그룹이나 고용된 해커들은 구성원이 유동적이고 활동이 불규칙해 추적이 더 어렵다고 합니다. 이번 구글의 시스템 개편은 이러한 복잡성을 줄이고, 사이버 보안 커뮤니티 전체의 위협 인텔리전스 공유 및 협력을 한층 강화하는 데 기여할 것으로 기대됩니다.