Mở bài

Trong hơn một thập kỷ, việc đặt “codenames” cho các nhóm hacker đã trở thành thói quen của ngành an ninh mạng. Một số cái tên như Fancy Bear thậm chí bước ra khỏi phạm vi chuyên môn và đi vào truyền thông đại chúng. Nhưng đằng sau những tên gọi dễ nhớ là một bài toán vận hành tri thức (knowledge management) ngày càng khó: ngay cả người trong ngành đôi khi cũng không theo kịp vì mỗi công ty đặt tên theo cách khác nhau, buộc thị trường phải dựa vào các tài nguyên đối chiếu “ai là ai”.

Tháng trước, Google trở thành công ty mới nhất cải tổ hệ thống đặt tên nhóm hacker. Điểm đáng chú ý không nằm ở “đổi tên cho vui”, mà ở cách Google diễn giải mục tiêu: mang lại độ rõ ràng cho nhà nghiên cứu bảo mật cả trong và ngoài công ty. Khi Google nói họ đang theo dõi hơn 5.000 “activity clusters” trên nhiều quốc gia, ta có một tín hiệu rõ: quy mô mối đe dọa đã phình to tới mức việc gọi đúng tên (và gọi nhất quán) trở thành một năng lực cạnh tranh về tốc độ phản ứng.

1) Tên gọi trong an ninh mạng: không phải chuyện “branding”, mà là hạ tầng ngôn ngữ

Shane Huntley, CTO của Google Threat Intelligence Group, nhấn mạnh rằng đặt tên cho tác nhân tấn công không chỉ là bài tập học thuật. Mục tiêu là tạo “baseline understanding” về ai đang tấn công ai và tấn công như thế nào, để các tổ chức có thể nhận diện nhanh hơn, chuẩn bị phòng thủ, ngăn chặn hoặc ít nhất điều tra sự cố kịp thời hơn.

Điểm mấu chốt của lập luận này là: muốn làm được như vậy, ngành phải đặt tên và theo dõi nhất quán. Với đội SOC/IR, “nhất quán” không chỉ nằm ở báo cáo kỹ thuật, mà còn ở playbook, ticket, diễn giải rủi ro cho lãnh đạo và phối hợp liên phòng ban. Khi một tác nhân có nhiều tên khác nhau giữa các nhà cung cấp, độ trễ và sai lệch trong truyền đạt có thể tăng lên — đặc biệt trong giai đoạn xử lý sự cố, nơi thời gian là chi phí.

2) Vì sao ngành không dùng chung một bộ tên? Rào cản đến từ dữ liệu và telemetry

Một chỉ trích phổ biến mỗi khi xuất hiện hệ thống đặt tên mới là: tại sao mọi tổ chức không thống nhất dùng chung codenames? Huntley đưa ra lời giải thích thẳng: mỗi công ty có một góc nhìn khác nhau dựa trên tập dữ liệu và telemetry riêng. Nói cách khác, tên gọi không đơn thuần là “từ điển”, mà là sản phẩm phụ của năng lực quan sát (visibility) và mô hình phân cụm hành vi.

Ông cũng thừa nhận đây là thực tế khó tránh: “No one has perfect visibility”; chúng ta sẽ không bao giờ biết hết mọi thứ đang diễn ra. Điều này quan trọng với độc giả kinh doanh và đầu tư ở chỗ: thị trường tình báo mối đe dọa có một mức phân mảnh cấu trúc. Ngay cả khi các hãng chia sẻ thêm thông tin, sự khác biệt về điểm đặt cảm biến, khách hàng, hạ tầng thu thập và cách mô hình hóa dữ liệu vẫn khiến bức tranh không thể trùng khít hoàn toàn.

Hệ quả là nhu cầu về các nguồn “mapping” đối chiếu tên nhóm — vốn đã tồn tại vì người trong ngành cũng khó theo dõi — nhiều khả năng chưa thể biến mất.

3) Google đổi gì trong hệ thống đặt tên — và vì sao lựa chọn này thực dụng

Theo TechCrunch, Google đã loại bỏ kiểu đặt tên APT + số (ví dụ APT1, APT41), vốn gắn với hệ thống do Mandiant áp dụng; Mandiant được mô tả là đơn vị đầu tiên triển khai một scheme đặt tên.

Hệ thống mới của Google được mô tả là hai phần:

Phần thứ nhất: một tên “memorable and random” (dễ nhớ và ngẫu nhiên).
Phần thứ hai: một từ mà chữ cái đầu chỉ quốc gia xuất xứ, với ví dụ: Castle cho China, Ion cho Iran, Neptune cho North Korea, Relic cho Russia.

Về mặt vận hành, đây là một lựa chọn mang tính “công cụ” hơn là “học thuật”. Tên APT+ số thuận tiện cho phân loại kiểu danh mục, nhưng kém thân thiện trong giao tiếp đa bên. Trong khi đó, một tên dễ nhớ giúp giảm nhầm lẫn khi trao đổi nhanh (war room, email, báo cáo điều hành), còn ký tự gợi quốc gia giúp người đọc có “neo” ngữ nghĩa để định hướng.

Dù vậy, cần lưu ý: bài viết không nêu chi tiết phương pháp để Google xác định quốc gia xuất xứ; do đó người dùng không nên suy luận rằng ký tự quốc gia là một kết luận “chắc chắn tuyệt đối” trong mọi trường hợp.

4) Quy mô theo dõi: hơn 5.000 “activity clusters” và bài toán quản trị tri thức

John Hultquist, chief analyst của Google Threat Intelligence Group, cho biết Google hiện theo dõi hơn 5.000 “activity clusters” ở nhiều quốc gia. Huntley nói thêm rằng chỉ có rất ít quốc gia phát triển là không có năng lực và nhóm tấn công mạng riêng.

Với quy mô như vậy, thách thức không chỉ nằm ở phát hiện kỹ thuật (IOC, TTP), mà là:

Đặt định danh sao cho không trùng lặp, không gây nhầm.
Kết nối lịch sử hành vi của tác nhân qua thời gian.
Truy xuất tri thức nhanh khi có sự cố.

Huntley nhấn mạnh tầm quan trọng của việc biết tác nhân hành xử ra sao và đã làm gì trong quá khứ để hỗ trợ phản ứng sự cố và thiết kế phạm vi phòng thủ. TechCrunch đưa ví dụ: hiểu Lazarus Group (nhóm hacker chính phủ Triều Tiên), mục tiêu và “who they work for” giúp bên phòng thủ có điểm xuất phát khi xử lý.

Trong ngôn ngữ kinh doanh, đây là cách biến dữ liệu tình báo thành tài sản có thể tái sử dụng: không chỉ “biết hôm nay bị gì”, mà còn “đối tượng này thường dùng cách nào, nhắm vào ai, chu kỳ hoạt động ra sao”. Tên gọi nhất quán chính là chỉ mục (index) cho tài sản đó.

5) Nhà nước, tội phạm mạng và hacker-for-hire: vì sao có nhóm dễ theo dõi hơn

Huntley đưa ra một phân biệt quan trọng: theo dõi hacker được nhà nước hậu thuẫn thường dễ hơn theo dõi các nhóm tội phạm mạng và hacker-for-hire. Lý do là hacker chính phủ có mục tiêu và hoạt động nhất quán hơn, trong khi nhóm tội phạm có thành viên ra vào, tách nhóm và “amorphous”.

Ông cũng nói hacker-for-hire và các nhà sản xuất spyware thường có nhiều khách hàng ở nhiều khu vực, khiến việc theo dõi khó hơn.

Hàm ý cho doanh nghiệp: khi nhận báo cáo đe dọa, đừng chỉ hỏi “tên nhóm là gì”, mà cần quan tâm “mức độ ổn định của cụm hoạt động” và “độ tin cậy của gán nhãn”. Nếu nhóm mang bản chất tội phạm/hacker dịch vụ, việc đổi tên, tách nhóm hoặc tái cấu trúc là điều có thể xảy ra thường xuyên hơn.

Hàm ý thực tiễn cho doanh nghiệp, nhà đầu tư và đội công nghệ

Chuẩn bị quy trình đối chiếu tên tác nhân giữa nhà cung cấp Vì mỗi hãng có telemetry riêng và đặt tên khác nhau, doanh nghiệp dùng nhiều nguồn cảnh báo (EDR, threat intel feed, báo cáo hãng bảo mật, cloud provider) nên có bước “actor name mapping” trong quy trình triage.
Tập trung vào hành vi/TTP hơn là tên Huntley nhấn mạnh việc hiểu tác nhân hành xử ra sao và đã làm gì trong quá khứ. Đối với quản trị rủi ro, tên chỉ là nhãn; giá trị nằm ở mô tả kỹ thuật và mô hình hành vi có thể chuyển thành rule, detection, và biện pháp phòng thủ.
Tên dễ nhớ giúp rút ngắn vòng lặp truyền thông nội bộ Hệ thống tên “memorable and random” của Google có thể hữu ích khi phải báo cáo lên cấp điều hành hoặc phối hợp liên phòng ban: giảm sai lệch khi truyền đạt, nhất là trong tình huống khẩn cấp.
Góc nhìn đầu tư: thị trường vẫn cần lớp ‘translation layer’ Vì khó có một chuẩn tên gọi toàn ngành, các sản phẩm/dịch vụ cung cấp đối chiếu định danh, hợp nhất tri thức giữa nguồn (vendor-agnostic), hoặc quản trị tri thức cho SOC có thể tiếp tục có nhu cầu.

Hạn chế của thông tin nguồn

Nguồn là bài viết báo chí TechCrunch, phản ánh quan điểm và trích dẫn từ đại diện Google Threat Intelligence Group; không cung cấp phương pháp luận chi tiết về cách Google xác định quốc gia xuất xứ hay tiêu chí gom “activity clusters”.
Bài viết không đưa số liệu định lượng về tác động sau khi đổi hệ thống đặt tên (ví dụ giảm thời gian phản ứng hay giảm nhầm lẫn).
Bài viết chỉ nêu một vài ví dụ tên theo scheme mới (Castle, Ion, Neptune, Relic), không có danh sách đầy đủ.

Nguồn tham khảo

TechCrunch (2026-08-08), Google’s top hacker hunter explains why hacking groups get codenames: https://techcrunch.com/2026/08/08/googles-top-hacker-hunter-explains-why-hacking-groups-get-codenames/

Vì sao các nhóm hacker cần “codenames” — và điều Google đang thay đổi nói gì về thị trường tình báo mối đe dọa