Convención de nombres de actores de amenazas de Microsoft: descifrando Typhoon, Blizzard y Storm

By Mirko Peters · 2026-10-24

Descubre cómo Microsoft nombra a los actores de amenazas cibernéticas con las etiquetas Typhoon, Blizzard y Storm. Entiende fácilmente los motivos y el origen de los adversarios.

Automatically translated with AI from the original post. Read the English original

Descubre cómo Microsoft categoriza y nombra a los actores de amenazas cibernéticas mediante elementos como Typhoon para China, Blizzard para Rusia y Storm para grupos no verificados. Aprende cómo descifrar estos identificadores operativos ayuda a los equipos de seguridad a identificar rápidamente el origen, los motivos y las técnicas de un ataque, sin necesidad de tener una formación profunda en ciberseguridad.

Puntos clave

• Microsoft relaciona los nombres de familia de los actores de amenazas con su origen geográfico o su motivación operativa principal.
• Typhoon designa a actores originados en China o alineados con este país, mientras que Blizzard apunta a Rusia.
• Sleet representa a Corea del Norte, Sandstorm se asocia con Irán y Tempest identifica a delincuentes motivados por el dinero.
• Las etiquetas temporales como 'Storm-0558' se utilizan para amenazas activas antes de que se confirme la atribución completa.
• Comprender los nombres de los actores de amenazas ayuda a los profesionales de TI generalistas a traducir informes de seguridad alarmantes en inteligencia contextual y útil para la acción.

Descifrando el sistema de nombres de actores de amenazas de Microsoft

Cuando los equipos de seguridad abren sus informes diarios de incidentes, suelen encontrarse con una avalancha de jerga técnica y códigos de identificación aleatorios. Para que estas amenazas sean más fáciles de entender y de seguir en el panorama global de la seguridad, Microsoft reorganizó la forma de clasificar a los grupos adversarios. En lugar de depender de cadenas hexadecimales poco claras o de obligar a los defensores a memorizar nombres de proveedores contradictorios, Microsoft asignó a los grupos de amenazas nombres de familia relacionados con el clima.

Esta convención de nombres no es aleatoria. Cada palabra de un perfil de actor de amenazas tiene un significado contextual deliberado, lo que ayuda a los analistas a entender de inmediato de dónde es probable que procede un ataque y qué pretende conseguir el adversario. Tanto si eres administrador de TI en una empresa híbrida como si eres responsable de la toma de decisiones que intenta dar sentido a los titulares sobre ciberseguridad, aprender esta taxonomía convierte el ruido caótico en conocimiento estructurado y útil para la acción.

Cómo los nombres de familia indican el origen geográfico

La base del sistema de nombres de Microsoft se sustenta en el nombre de familia principal asignado a cada grupo de amenazas. Estas etiquetas geográficas establecen el origen o el patrocinio presumido de las operaciones cibernéticas:

• Typhoon: grupos atribuidos a China o que operan desde este país, que suelen llevar a cabo espionaje a largo plazo contra organismos gubernamentales, centros de análisis y infraestructuras críticas.
• Blizzard: adversarios originados en Rusia o vinculados a este país, a menudo asociados con la recopilación de inteligencia patrocinada por el Estado y con perturbaciones geopolíticas de gran repercusión.
• Sandstorm: actores de amenazas vinculados a intereses estatales de Irán, que normalmente atacan a rivales regionales, contratistas de defensa y empresas de telecomunicaciones.
• Sleet: grupos asociados a Corea del Norte, centrados en gran medida en el robo de criptomonedas, las brechas en entidades financieras y la inteligencia estratégica.

Al relacionar un prefijo como Typhoon o Blizzard con un incidente, los profesionales de seguridad obtienen de inmediato un contexto geográfico de alto nivel sobre quién podría estar llamando a sus puertas digitales.

Identificar los motivos a través del enfoque operativo

Más allá de la geografía, la arquitectura de nombres de Microsoft clasifica explícitamente qué impulsa a estos atacantes. El modificador secundario o la designación de familia específica destaca el objetivo principal del adversario:

• Tempest: Reservado exclusivamente para sindicatos de ciberdelincuentes motivados por el dinero, como los operadores de ransomware y los grupos de phishing sofisticados.
• Flood: Se aplica específicamente a operaciones de influencia y campañas coordinadas de desinformación diseñadas para alterar la percepción pública en lugar de robar datos.
• Tsunami: Hace seguimiento a los actores ofensivos del sector privado: empresas comerciales que desarrollan, empaquetan y venden ciberarmas a diversos clientes que pagan por ellas.

Esta distinción inteligente permite a las organizaciones diferenciar entre un Estado-nación que intenta sustraer discretamente propiedad intelectual y una banda de ransomware motivada por el dinero que busca bloquear estaciones de trabajo para obtener un pago por extorsión.

El propósito de las etiquetas "Storm" en la investigación inicial

Una de las fuentes de confusión más comunes para los equipos que exploran la inteligencia de amenazas es encontrarse con designaciones como Storm-0558. Cuando Microsoft detecta actividad maliciosa claramente organizada y activa, pero la identidad definitiva, el respaldo de un Estado-nación o el patrocinio a largo plazo del grupo siguen sin confirmarse, asigna una etiqueta provisional.

La palabra Storm seguida de un número de cuatro dígitos indica que la actividad es totalmente real y peligrosa, pero la atribución sigue bajo investigación activa. Una vez que los investigadores de seguridad de Microsoft reúnen pruebas definitivas suficientes, como código compartido, infraestructura común o tácticas, técnicas y procedimientos (TTP) específicos, el grupo pasa de una etiqueta Storm provisional a un nombre de familia meteorológica formal y permanente.

Cerrar la brecha con los alias del sector

Distintos proveedores de ciberseguridad han usado históricamente nombres completamente diferentes para los mismos grupos de amenazas, lo que genera enorme confusión durante las respuestas a incidentes entre empresas. Microsoft relaciona activamente su taxonomía interna de nombres con sus equivalentes heredados del sector. Por ejemplo, el grupo ruso que Microsoft conoce internamente como Forest Blizzard es ampliamente seguido en el sector como Fancy Bear o APT28.

Esta referencia cruzada transparente garantiza que, ya sea que un analista lea un informe de amenazas de Microsoft, de un proveedor de nube competidor o de una fuente de inteligencia de código abierto, pueda reconocer de inmediato que los tres informes describen exactamente al mismo adversario. Elimina las conjeturas y agiliza la colaboración entre varios proveedores durante incidentes de seguridad graves.

Conclusión

Entender las amenazas de ciberseguridad actuales requiere algo más que reaccionar a luces parpadeantes y registros de errores; exige comprender a los adversarios humanos que operan detrás de la pantalla. Al utilizar convenciones de nombres estructuradas como Typhoon, Blizzard y Storm, Microsoft ayuda a las organizaciones a contextualizar las alertas y a conectar indicadores técnicos aislados con campañas criminales y de Estados-nación más amplias.

Para profundizar en el DNS pasivo, los indicadores de compromiso y cómo aprovechar estos conocimientos dentro de tu empresa, escucha el episodio completo del M365 FM Podcast, con un desglose completo y sin jerga de las estrategias modernas de inteligencia de amenazas.

Preguntas frecuentes

¿Qué significa el término "Blizzard" en la inteligencia de amenazas de Microsoft?

Blizzard es un nombre de familia que Microsoft utiliza para designar a actores de amenazas y operaciones cibernéticas originadas en Rusia o alineadas con ese país, que normalmente se centran en el espionaje y la recopilación de inteligencia geopolítica.

¿Por qué Microsoft usa etiquetas "Storm" en lugar de nombres?

Las etiquetas Storm son designaciones temporales asignadas a clústeres de amenazas activos recién descubiertos cuando los investigadores de seguridad todavía están investigando la identidad subyacente o el patrocinio estatal del grupo.

¿En qué se diferencian los grupos Tempest de los grupos Typhoon?

Los grupos Tempest son criminales motivados por el dinero que se centran en la extorsión, el ransomware y el lucro, mientras que los grupos Typhoon son entidades patrocinadas por un Estado o alineadas con uno, que operan principalmente desde China y se centran en el espionaje.

¿Otros proveedores de seguridad usan los nombres de actores de amenazas de Microsoft?

Otros proveedores suelen usar sus propias convenciones de nombres (como los números APT o los nombres de animales), pero Microsoft asigna activamente sus nombres basados en el clima a equivalentes del sector, como APT28 o Fancy Bear, para garantizar la claridad entre proveedores.