En el ámbito de la ciberseguridad, un nombre no siempre identifica a un grupo concreto. En ocasiones es el propio grupo quien decide cómo quiere llamarse, en otras, son los investigadores quienes asignan una denominación para poder seguir la pista de una determinada actividad maliciosa. Aunque pueda parecer un detalle menor, esta diferencia resulta fundamental para comprender cómo funciona hoy el ecosistema del cibercrimen, porque, igual que ocurre en el mundo empresarial, en el cibercrimen también existe algo parecido al branding.
Los grupos de ransomware, por ejemplo, han comprendido que un nombre puede convertirse en un activo de enorme valor. No solo sirve para identificarse, sino también para construir una reputación. Cuanto más conocido es un grupo de cibercrimen, mayor es el impacto psicológico sobre sus víctimas. Si una empresa reconoce el nombre de un grupo que ya ha protagonizado ataques mediáticos o ha publicado información robada de otras organizaciones, es más probable que perciba la amenaza como creíble y considere pagar el rescate. En otras palabras, la reputación también forma parte del negocio del cibercrimen.
Los ciberdelincuentes compiten entre sí por atraer afiliados, conseguir notoriedad dentro de los foros clandestinos, aparecer en los medios de comunicación y consolidar una imagen que inspire miedo. Un nombre corto, reconocible y fácil de recordar puede convertirse en una poderosa herramienta de marketing criminal. Del mismo modo que las empresas invierten en construir una marca para transmitir confianza, los grupos de ransomware buscan proyectar una imagen que aumente la presión durante las negociaciones con sus víctimas.
Un nombre corto, reconocible y fácil de recordar puede convertirse en una poderosa herramienta de marketing criminal
No ocurre solo con el ransomware. Los grupos de ciberdelincuentes también utilizan sus nombres como parte de su estrategia de comunicación. En muchos casos, el propio nombre hace referencia a una causa política, una ideología o una región geográfica, reforzando el mensaje que quieren transmitir. Más allá del ataque técnico, buscan visibilidad e influencia.
Pero mientras que los ciberdelincuentes utilizan los nombres como parte de su estrategia de comunicación, los investigadores tienen un objetivo completamente distinto.
Cuando un equipo de inteligencia detecta campañas similares, infraestructuras compartidas o patrones de comportamiento repetidos necesita una forma de organizar toda esa información. Para ello asigna nombres que permitan relacionar incidentes, compartir conocimiento y facilitar la investigación. Es una herramienta de trabajo, no una confirmación absoluta sobre quién está detrás del ataque.
Por eso es habitual que un mismo actor aparezca identificado con nombres diferentes según la empresa de ciberseguridad, el organismo público o el equipo de investigación que haya analizado su actividad. Cada organización utiliza sus propios criterios de clasificación y observa piezas distintas del mismo puzle: unas analizan el malware, otras la infraestructura utilizada, otras las tácticas empleadas o las víctimas afectadas.
Uno de los ejemplos más conocidos es el de APT29, un actor vinculado tradicionalmente a actividades de ciberespionaje. Dependiendo de la fuente, también ha sido identificado como Cozy Bear, Nobelium o Midnight Blizzard, entre otros nombres. No significa que se trate de grupos distintos ni que unos investigadores estén equivocados y otros no. Simplemente responde a diferentes metodologías de atribución desarrolladas a lo largo del tiempo.
El naming en el cibercrimen supone una estrategia de posicionamiento
Para los profesionales de la ciberseguridad, esta distinción resulta especialmente importante. Confundir los nombres elegidos por los propios atacantes con las etiquetas creadas por los investigadores puede llevar a sobreestimar el grado de certeza sobre un incidente, pasar por alto la relación entre diferentes alias o centrar la atención en el nombre en lugar del comportamiento que realmente caracteriza a una amenaza.
Ha llegado el momento de dejar de ver los nombres de los grupos de ciberdelincuentes únicamente como etiquetas técnicas y empezar a entenderlos también como parte de una estrategia de posicionamiento
Lo verdaderamente relevante para cualquier organización no es memorizar el nombre de un grupo de ransomware o de una campaña de ciberespionaje, sino comprender cómo opera ese actor: qué vulnerabilidades explota, qué tipo de credenciales busca, qué herramientas utiliza para desplazarse dentro de una red o qué sectores suele atacar. Ese conocimiento permite anticiparse y reforzar la defensa. El nombre, por sí solo, aporta muy poco si no va acompañado de inteligencia contextual.
A medida que el ecosistema criminal se profesionaliza, también lo hacen sus estrategias de comunicación. Los cambios de nombre, los rebrandings tras operaciones policiales o las nuevas identidades creadas para desvincularse de ataques anteriores son cada vez más habituales. Igual que ocurre en cualquier mercado competitivo, la reputación puede convertirse tanto en un activo como en una carga, y los propios ciberdelincuentes saben cuándo les interesa empezar de nuevo bajo otra marca.
Por eso, quizá ha llegado el momento de dejar de ver los nombres de los grupos de ciberdelincuentes únicamente como etiquetas técnicas y empezar a entenderlos también como parte de una estrategia de posicionamiento. Detrás de muchos de ellos hay una intención clara de construir una identidad reconocible, ganar notoriedad y reforzar su capacidad de intimidación.
En un entorno donde los nombres cambian constantemente, el comportamiento sigue siendo el indicador más fiable. Es ahí donde reside el verdadero valor de la inteligencia de amenazas y donde las organizaciones pueden transformar la información en decisiones capaces de reducir su exposición al riesgo.
