Convention de nommage des acteurs de menace de Microsoft : décryptage de Typhoon, Blizzard et Storm

By Mirko Peters · 2026-10-24

Découvrez comment Microsoft nomme les acteurs de cybermenace à l’aide des libellés Typhoon, Blizzard et Storm. Comprenez facilement les motivations et les origines des adversaires.

Automatically translated with AI from the original post. Read the English original

Découvrez comment Microsoft classe et nomme les acteurs de cybermenace à l’aide d’éléments tels que Typhoon pour la Chine, Blizzard pour la Russie et Storm pour les groupes non vérifiés. Apprenez comment le décodage de ces identifiants opérationnels aide les équipes de sécurité à identifier rapidement l’origine des attaques, leurs motivations et leurs techniques, sans avoir besoin d’un bagage approfondi en cybersécurité.

Points clés

• Microsoft associe les noms de famille des acteurs de menace à leur origine géographique ou à leur motivation opérationnelle principale.
• Typhoon désigne des acteurs originaires de Chine ou alignés sur elle, tandis que Blizzard renvoie à la Russie.
• Sleet représente la Corée du Nord, Sandstorm correspond à l’Iran, et Tempest identifie des criminels motivés par le gain financier.
• Des libellés provisoires comme « Storm-0558 » sont utilisés pour les menaces actives avant que l’attribution complète ne soit confirmée.
• Comprendre les noms des acteurs de menace aide les généralistes IT à transformer des rapports de sécurité alarmants en renseignements exploitables et contextualisés.

Décryptage du système de nommage des acteurs de menace de Microsoft

Lorsque les équipes de sécurité ouvrent leurs rapports d’incidents quotidiens, elles sont souvent submergées de jargon technique et de codes d’identification aléatoires. Pour rendre ces menaces plus faciles à appréhender et à suivre dans l’ensemble du paysage mondial de la sécurité, Microsoft a revu en profondeur la manière dont il classe les groupes adverses. Plutôt que de s’appuyer sur des chaînes hexadécimales obscures ou d’obliger les défenseurs à mémoriser des noms d’éditeurs contradictoires, Microsoft a associé les groupes de menaces à des noms de famille liés à la météo.

Cette convention de nommage n’a rien d’aléatoire. Chaque mot d’un profil d’acteur de menace porte un sens contextuel délibéré, qui aide les analystes à comprendre immédiatement d’où une attaque est susceptible de provenir et ce que l’adversaire cherche à obtenir. Que vous soyez administrateur IT chargé d’un environnement hybride ou décideur tentant de déchiffrer l’actualité de la cybersécurité, la maîtrise de cette taxonomie transforme un bruit confus en connaissances structurées et exploitables.

Comment les noms de famille indiquent l’origine géographique

Le système de nommage de Microsoft repose d’abord sur le nom de famille principal attribué à un groupe de menaces. Ces marqueurs géographiques établissent l’origine ou le parrainage présumé des opérations cyber :

• Typhoon : groupes attribués à la Chine ou opérant depuis son territoire, menant fréquemment des opérations d’espionnage de longue durée contre des administrations, des centres de réflexion et des infrastructures critiques.
• Blizzard : adversaires originaires de Russie ou liés à ce pays, souvent associés à la collecte de renseignements pour le compte d’un État et à des perturbations géopolitiques très médiatisées.
• Sandstorm : acteurs de menace liés aux intérêts étatiques iraniens, ciblant généralement des rivaux régionaux, des sous-traitants de la défense et des opérateurs de télécommunications.
• Sleet : groupes associés à la Corée du Nord, principalement axés sur le vol de cryptomonnaies, les intrusions dans les établissements financiers et le renseignement stratégique.

En associant un préfixe tel que Typhoon ou Blizzard à un incident, les professionnels de la sécurité obtiennent immédiatement un contexte géographique de haut niveau sur l’identité de ceux qui pourraient frapper à leur porte numérique.

Identifier les motivations à partir de la finalité opérationnelle

Au-delà de la géographie, l’architecture de nommage de Microsoft classe explicitement ce qui motive ces attaquants. Le modificateur secondaire ou la désignation de famille spécifique met en évidence l’objectif principal de l'adversaire :

• Tempest : réservé exclusivement aux syndicats cybercriminels motivés par l'argent, comme les opérateurs de rançongiciels et les groupes de hameçonnage sophistiqués.
• Flood : appliqué spécifiquement aux opérations d'influence et aux campagnes coordonnées de désinformation, conçues pour modifier la perception du public plutôt que pour voler des données.
• Tsunami : suit les acteurs offensifs du secteur privé, à savoir les entreprises commerciales qui conçoivent, conditionnent et vendent des cyberarmes à divers clients payants.

Cette distinction astucieuse permet aux organisations de différencier un État qui tente de siphonner discrètement la propriété intellectuelle d'une équipe criminelle motivée par l'argent, qui cherche à verrouiller des postes de travail pour obtenir une rançon.

Le rôle des désignations « Storm » lors des premières investigations

L'une des sources de confusion les plus fréquentes pour les équipes qui explorent le renseignement sur les menaces consiste à rencontrer des désignations comme Storm-0558. Lorsque Microsoft détecte une activité malveillante clairement organisée et active, mais que l'identité définitive, le soutien d'un État ou le parrainage à long terme du groupe reste non confirmé, il lui attribue un libellé provisoire.

Le mot Storm, suivi d'un numéro à quatre chiffres, indique que l'activité est bien réelle et dangereuse, mais que l'attribution fait toujours l'objet d'une enquête active. Dès que les chercheurs en sécurité de Microsoft rassemblent suffisamment de preuves définitives, comme un code commun, une infrastructure partagée ou des tactiques, techniques et procédures (TTP) spécifiques, le groupe passe d'une désignation provisoire Storm à un nom de famille météorologique formel et permanent.

Combler l'écart avec les alias du secteur

Différents éditeurs de cybersécurité ont historiquement utilisé des noms totalement différents pour les mêmes groupes de menaces, ce qui a engendré une confusion considérable lors des réponses à incident entre entreprises. Microsoft fait correspondre activement sa taxonomie de nommage interne à des équivalents sectoriels historiques. Par exemple, le groupe russe que Microsoft connaît en interne sous le nom de Forest Blizzard est largement suivi dans le secteur sous les noms de Fancy Bear ou APT28.

Cette mise en correspondance transparente garantit que, qu'un analyste lise un bilan des menaces de Microsoft, d'un fournisseur cloud concurrent ou d'un flux de renseignement en sources ouvertes, il peut reconnaître immédiatement que ces trois rapports décrivent exactement le même adversaire. Elle élimine les conjectures et fluidifie la collaboration entre plusieurs éditeurs lors d'incidents de sécurité majeurs.

Conclusion

Comprendre les menaces cybernétiques modernes exige plus que de réagir à des voyants clignotants et à des journaux d'erreurs : il faut comprendre les adversaires humains qui opèrent derrière l'écran. En s'appuyant sur des conventions de nommage structurées comme Typhoon, Blizzard et Storm, Microsoft aide les organisations à contextualiser les alertes et à relier des indicateurs techniques isolés à des campagnes criminelles et étatiques plus vastes.

Pour approfondir le DNS passif, les indicateurs de compromission et la manière d'exploiter ces informations au sein de votre entreprise, écoutez l'épisode complet du podcast M365 FM, pour une présentation complète et accessible des stratégies modernes de renseignement sur les menaces.

Questions fréquentes

Que signifie le terme « Blizzard » dans le renseignement sur les menaces de Microsoft ?

Blizzard est un nom de famille utilisé par Microsoft pour désigner les acteurs de menace et les opérations cybernétiques originaires de Russie ou alignés sur elle, qui se concentrent généralement sur l'espionnage et la collecte de renseignements géopolitiques.

Pourquoi Microsoft utilise-t-il des désignations « Storm » plutôt que des noms ?

Les désignations Storm sont des libellés provisoires attribués à des groupes de menaces nouvellement découverts et actifs, lorsque l'identité sous-jacente du groupe ou son parrainage par un État fait encore l'objet d'une enquête par les chercheurs en sécurité.

En quoi les groupes Tempest se distinguent-ils des groupes Typhoon ?

Les groupes Tempest sont des criminels motivés par l'argent, centrés sur l'extorsion, les rançongiciels et le profit, alors que les groupes Typhoon sont des entités parrainées par un État ou alignées sur lui, opérant principalement depuis la Chine et axées avant tout sur l'espionnage.

D'autres éditeurs de sécurité utilisent-ils les noms d'acteurs de menace de Microsoft ?

D'autres éditeurs utilisent souvent leurs propres conventions de nommage (numéros APT ou noms d'animaux, par exemple), tandis que Microsoft associe activement ses noms inspirés de la météo à des équivalents du secteur, comme APT28 ou Fancy Bear, afin de garantir une clarté entre les éditeurs.