LockBit, BlackCat, Scattered Spider, Fancy Bear e Anonymous Sudan estão entre os nomes mais conhecidos do cibercrime. Embora pareçam identificar organizações bem definidas, essas denominações nem sempre refletem estruturas únicas ou o comportamento exato dos atacantes. Segundo a Check Point Software, interpretar esses nomes de forma isolada pode levar empresas a avaliar incorretamente o risco real de uma ameaça.
De acordo com especialistas da companhia, as nomenclaturas no ecossistema do cibercrime possuem origens distintas. Algumas são criadas pelos próprios criminosos para fortalecer sua reputação, atrair afiliados e intimidar vítimas. Outras são atribuídas por pesquisadores, fornecedores de Segurança e órgãos governamentais para catalogar e acompanhar atividades maliciosas ao longo do tempo.
Essa pluralidade faz com que um mesmo grupo seja conhecido por múltiplos codinomes, dependendo da fonte analisada, da campanha investigada ou das evidências disponíveis. Um exemplo é o APT29, mapeado pelo framework MITRE ATT&CK, que também é identificado por nomes como Cozy Bear, The Dukes, NOBELIUM, Midnight Blizzard, UNC2452 e SolarStorm por diferentes empresas de inteligência.
O cenário torna-se ainda mais complexo no segmento de ransomware, no qual criminosos alteram identidades para fugir de ações policiais, contornar sanções ou reorganizar operações. Além disso, o compartilhamento de códigos, ferramentas e infraestruturas dificulta identificar se uma nova marca representa a reestruturação do mesmo grupo ou a criação de uma operação inédita.
Por isso, a Check Point ressalta que a simples reutilização de um código malicioso não comprova que dois ataques tenham a mesma autoria. Chegar a essa conclusão exige a análise conjunta de infraestrutura, táticas, técnicas e procedimentos (TTPs), cronologia, perfil das vítimas, linguagem utilizada e diversos outros indicadores técnicos.
A inteligência de ameaças torna-se mais efetiva quando direcionada para apoiar decisões de defesa e a priorização de riscos. Compreender a diferença entre os nomes é essencial para evitar interpretações equivocadas, garantindo que o foco das análises esteja nas técnicas utilizadas, nas vulnerabilidades exploradas e na real exposição do ambiente corporativo.
Nesse contexto, plataformas de gerenciamento de exposições ajudam equipes de Segurança a correlacionar dados sobre atores de ameaças com a realidade de cada organização. Em vez de analisar apenas o nome atribuído a um grupo, essa abordagem permite identificar se aquele conjunto de técnicas representa risco efetivo para a infraestrutura da empresa e quais medidas devem ser priorizadas para reduzir a superfície de ataque.
