Google脅威インテリジェンスグループ、脅威アクターの統一命名システムを導入|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月29日更新日時: 2026年07月29日

Google脅威インテリジェンスグループ（GTIG）は2026年7月24日、サイバー攻撃を行う脅威アクター（攻撃者グループ）の追跡・命名方法を刷新し、クリプトニム（暗号名）ベースの統一命名スキーマの展開を開始したと発表しました。この変更は、MandiantとGoogleの脅威解析グループ（TAG）が歴史的に別々の命名体系を独自に運用してきたことによる分断を解消するものです。新方式では、各脅威アクターに覚えやすい2語のクリプトニムが割り当てられます。1語目は個々のアクターを表す固有の識別子、2語目は攻撃者の動機・帰属・活動の種類を示すカテゴリーラベルです。たとえばロシア国家系のグループはRELIC、中国系はCASTLEといった具合に、名前を見ただけで攻撃者の出自の文脈を推測できるようになります。長年APT44やSandwormと呼ばれてきたロシア国家系グループは、この新方式で「SANDWORM RELIC」と再分類されました。過去の名称も引き続き検索可能な形で保持されます。

サマリー

GTIGが2026年7月24日、脅威アクターの統一命名スキーマの展開を開始
MandiantとTAGの別々の命名体系の分断を解消する目的
新方式は覚えやすい2語のクリプトニム（暗号名）を採用
1語目は固有識別子（過去の公開報告での名称を優先、なければランダム生成後にアナリストが検証）
2語目は動機・帰属・活動を示すカテゴリーラベル
帰属カテゴリー例：中国=CASTLE、イラン=ION、北朝鮮=NEPTUNE、ロシア=RELIC、サイバー犯罪=COMET
APT44/SandwormはSANDWORM RELICに再分類
過去の名称・MITRE ATT&CKマッピング・他ベンダーのエイリアスはGTIプラットフォーム上で検索可能なまま保持
まず最も活発な数十グループを優先的に改名、以降順次拡大

項目	内容
発表主体	Google脅威インテリジェンスグループ（GTIG）
発表日	2026年7月24日
変更内容	脅威アクターの統一命名スキーマの導入
命名方式	2語のクリプトニム（暗号名）
1語目	固有識別子（既存の公開名称を優先、なければランダム生成＋検証）
2語目	カテゴリーラベル（動機・帰属・活動種別）
背景	Mandiant（Google傘下）とTAGの命名体系の統合
移行方式	最も活発な数十グループを優先、順次拡大
過去名称	GTIプラットフォーム上で検索可能なまま保持

背景――MandiantとTAGの命名体系の分断

今回の変更の根底には、Googleの脅威インテリジェンス組織が抱えていた構造的な問題があります。

歴史的に、Google傘下のMandiantとGoogleの脅威解析グループ（TAG）は、それぞれ独立した追跡システムを運用し、時間をかけて別々に発展した並行的な命名スキーマに依存してきました。両者が統合されてGTIGが誕生したことで、同じ脅威アクターに対して重複または矛盾する識別子が存在するという問題が表面化しました。防御側は、同一の攻撃者について異なる複数の識別子を突き合わせる必要にしばしば迫られていました。

GTIGは、APT1のような連番方式を含む従来の命名手法は、セキュリティチームが迅速な意思決定を行うために必要な文脈的な豊かさを欠いていると指摘しています。脅威の追跡は暗記の作業ではなく、直感的に理解できる参照システムとして機能すべきだという考えから、より業界標準に沿ったクリプトニムモデルへの移行が進められました。

サーバーサイド・ネットワークの実務経験から言えば、この分断は現場に実害をもたらします。SIEMのアラートや脅威インテリジェンスフィードで、あるベンダーが「APT44」と呼ぶ攻撃者を別のベンダーが「Sandworm」と呼ぶ状況では、同一の脅威に対する情報を人手で名寄せする作業が発生し、インシデント対応の初動が遅れる要因になります。

エイリアスの氾濫という問題――Sandwormの例

命名の分断がいかに深刻かを示す例として、GTIGはロシア国家系グループの事例を挙げています。

長年APT44、公開名としてはSandwormとして追跡されてきたこのグループは、2004年に遡る活動の歴史の中で、Dark Basin、Frozenbarents、Greyenergy、Hades、Inedibleochotense、Quedaghといった多数のエイリアス（別名）を蓄積してきました。一つの攻撃者集団に対して、ベンダーや調査機関ごとに異なる名前が乱立している状態です。

こうしたエイリアスの氾濫は、当サイトでもたびたび取り上げてきた問題です。たとえば中国系のAPTグループSalt Typhoon（ソルト・タイフーン）は、FamousSparrow（ESET）、GhostEmperor（Kaspersky）、Earth Estrie（Trend Micro）、UNC2286（Mandiant）、OPERATOR PANDA、RedMikeなど、複数の名前で報告されてきました。同じ攻撃者を追う際に、どの名前が同一グループを指すのかを把握するだけでも相当な労力を要します。

新しい命名スキーマの仕組み

GTIGの新方式は、各脅威アクターに覚えやすい2語の組み合わせによるクリプトニムを割り当てます。

1語目は、その攻撃者を表す固有かつ記憶に残る用語です。特に過去の公開報告で使われてきた名前がある場合は、それが優先されます。既存の用語が存在しない場合は、バイアスを排除するためにランダムに単語を生成し、その後アナリストのレビューを経て検証されます。

2語目は、脅威クラスターを動機・帰属・活動の種類によって分類するカテゴリーラベルです。GTIGが防御・対応戦略にとって最も重要と考えるカテゴリーに基づいて選ばれます。GTIGが公開したカテゴリーと2語目の対応例は以下の通りです。

出自またはタイプ	グループ名（2語目）
中華人民共和国	CASTLE
イラン	ION
北朝鮮	NEPTUNE
ロシア	RELIC
サイバー犯罪	COMET

この構造により、アナリストは名前そのものから帰属の文脈を直接推測できるようになります。前述のAPT44/Sandwormは、この新方式で「SANDWORM RELIC」と再分類されました。RELICがロシア国家系の帰属を示すため、名前を見ただけでこのグループがロシア国家系であることが分かる仕組みです。トリアージやチーム間のコミュニケーションを効率化する狙いがあります。

他ベンダーの命名体系との関係と限界

GTIGは、業界には多くの脅威アクター追跡スキーマが存在することを認識しており、この新システムを可能な限りシンプルに保つことで、他の命名分類体系へのマッピングを容易にすることを意図しています。

ただし、GTIGは重要な留保事項も示しています。2つの組織が脅威ランドスケープに対してまったく同じ可視性を持つことはないため、ベンダー間の命名スキーマの直接的な比較は本質的に不正確なものにとどまるという点です。GTIGは、この簡素化された命名規則を、より広範な帰属という課題に対する決定的な解決策ではなく、実務上の改善として位置づけています。

この「単一の標準を強制しない」という姿勢は、業界全体の潮流とも一致しています。2025年6月には、MicrosoftとCrowdStrikeが脅威アクターの命名を調和させる取り組みを発表し、両社が追跡する80以上の攻撃者について名寄せ（deconfliction）を実施しました。この取り組みでは、単一の命名標準を強制するのではなく、ベンダーのエコシステムを横断して攻撃者の識別子を紐づける共有マッピングシステム、いわゆる「ロゼッタストーン」を構築するアプローチが取られています。GTIGの新方式も、この「標準化ではなくマッピングの容易化」という方向性を踏襲したものといえます。

移行の進め方と後方互換性

今回の変更は段階的に進められます。

GTIGは、まず最も活発な数十のグループの改名を優先し、追加のアクターについては順次対応していくとしています。

重要なのは、過去の名称が消えるわけではないという点です。従来の識別子は、Google脅威インテリジェンス（GTI）プラットフォーム内で引き続きインデックス化され、検索可能な状態に保たれます。あわせて、MITRE ATT&CKフレームワークのマッピングや他ベンダーが使用するエイリアスも保持されます。これにより、過去の報告を参照するアナリストや研究者のための後方互換性が確保されます。

また、GTIGは調査の初期段階にある脅威クラスターについては、引き続きUNC（uncategorized、未分類）の指定を使用するとしています。攻撃者の帰属が確定する前の段階では、確定的なクリプトニムを付与しないという運用です。

情報システム部門への示唆

この命名スキーマの変更は、GTIやMandiantの脅威インテリジェンスを利用している組織にとって実務的な影響があります。

まず、新しいクリプトニムがダッシュボード、アラート、レポートに順次反映されるため、セキュリティチームや脅威インテリジェンスの実務者には学習コストが発生します。慣れ親しんだ識別子が新しい名前に置き換わっていくため、当面は新旧の名称の対応関係を把握する必要があります。

GTIを脅威フィードに利用している組織は、展開状況を注視し、新しい命名規則がプラットフォームに反映されるにつれて、社内のドキュメント、プレイブック、検知ルールを更新することが推奨されます。特に、脅威アクター名をキーにした検知ルールや相関ルールを運用している場合、命名の変更がルールの動作に影響する可能性があるため、事前の確認が重要です。

一方で、中長期的には、名前から攻撃者の出自を推測できるという新方式のメリットが、トリアージの効率化やチーム間の情報共有の円滑化につながることが期待されます。Salt TyphoonやVolt Typhoonのように複数の名前で報告される攻撃者が増えるなか、命名の一貫性を高める取り組みは、防御側の負担軽減に寄与する可能性があります。ただし、GTIG自身が認めるとおり、ベンダーごとに可視性が異なる以上、命名の完全な統一は困難であり、複数の命名体系が併存する状況は当面続くと見られます。組織としては、特定のベンダーの命名に依存しすぎず、複数の情報源を横断して脅威を把握できる体制を維持することが引き続き重要です。