Convenzione di denominazione dei threat actor di Microsoft: decodificare Typhoon, Blizzard e Storm

By Mirko Peters · 2026-10-24

Scopri come Microsoft assegna i nomi ai threat actor informatici con le etichette Typhoon, Blizzard e Storm. Capisci facilmente le motivazioni e le origini degli avversari.

Automatically translated with AI from the original post. Read the English original

Scopri come Microsoft classifica e denomina i threat actor informatici utilizzando elementi come Typhoon per la Cina, Blizzard per la Russia e Storm per i gruppi non verificati. Scopri come decodificare questi identificativi operativi aiuta i team di sicurezza a individuare rapidamente origini, motivazioni e tecniche di attacco, senza bisogno di una solida preparazione in cybersecurity.

Punti chiave

• Microsoft associa i nomi di famiglia dei threat actor alla loro origine geografica o alla loro principale motivazione operativa.
• Typhoon indica attori originari della Cina o allineati con essa, mentre Blizzard indica la Russia.
• Sleet rappresenta la Corea del Nord, Sandstorm corrisponde all'Iran e Tempest identifica i criminali motivati da interessi economici.
• Le etichette temporanee come "Storm-0558" vengono usate per le minacce attive prima che l'attribuzione sia confermata.
• Conoscere i nomi dei threat actor aiuta i generalisti IT a tradurre rapporti di sicurezza allarmanti in informazioni utili e contestualizzate.

Decodificare il sistema di denominazione dei threat actor di Microsoft

Quando i team di sicurezza aprono i report quotidiani sugli incidenti, spesso si trovano sommersi da gergo tecnico e codici di identificazione casuali. Per rendere queste minacce più facili da interpretare e da monitorare nel panorama globale della sicurezza, Microsoft ha rivisto il modo in cui classifica i gruppi di avversari. Invece di affidarsi a stringhe esadecimali poco intuitive o di costringere i difensori a memorizzare nomi contrastanti dei diversi fornitori, Microsoft ha associato i gruppi di minacce a nomi di famiglia legati ai fenomeni meteorologici.

Questa convenzione non è casuale. Ogni parola in un profilo di threat actor ha un significato contestuale preciso, che aiuta gli analisti a capire subito da dove potrebbe provenire un attacco e che cosa l'avversario vuole ottenere. Che tu sia un amministratore IT che gestisce un'infrastruttura ibrida o un decisore che cerca di orientarsi tra le notizie sulla cybersicurezza, imparare questa tassonomia trasforma il rumore caotico in conoscenza strutturata e utilizzabile.

Come i nomi di famiglia indicano l'origine geografica

La base del sistema di denominazione di Microsoft è il nome di famiglia principale assegnato a un gruppo di minacce. Questi tag geografici stabiliscono l'origine o lo sponsor presunto delle operazioni informatiche:

• Typhoon: gruppi attribuiti alla Cina o che operano dalla Cina, spesso impegnati in attività di spionaggio a lungo termine contro agenzie governative, think tank e infrastrutture critiche.
• Blizzard: avversari originari della Russia o legati ad essa, spesso associati alla raccolta di informazioni per conto di Stati e a rilevanti interferenze geopolitiche.
• Sandstorm: threat actor collegati agli interessi statali iraniani, che di solito prendono di mira rivali regionali, aziende della difesa e operatori di telecomunicazioni.
• Sleet: gruppi associati alla Corea del Nord, concentrati soprattutto sul furto di criptovalute, sulle violazioni di istituti finanziari e sulla raccolta di informazioni strategiche.

Associando un prefisso come Typhoon o Blizzard a un incidente, i professionisti della sicurezza ottengono subito un contesto geografico di alto livello su chi potrebbe bussare alle loro porte digitali.

Identificare le motivazioni attraverso il focus operativo

Oltre alla geografia, l'architettura di denominazione di Microsoft classifica esplicitamente ciò che guida questi attori. Il modificatore secondario o la designazione di famiglia specifica evidenzia l'obiettivo principale dell'avversario:

• Tempest: riservato esclusivamente ai sindacati criminali informatici motivati da interessi economici, come gli operatori di ransomware e i gruppi di phishing sofisticati.
• Flood: applicato in modo specifico alle operazioni di influenza e alle campagne coordinate di disinformazione, progettate per alterare la percezione pubblica anziché sottrarre dati.
• Tsunami: monitora gli attori offensivi del settore privato, cioè le aziende commerciali che sviluppano, confezionano e vendono armi informatiche a vari clienti paganti.

Questa distinzione intelligente permette alle organizzazioni di differenziare tra uno stato-nazione che cerca di sottrarre in silenzio proprietà intellettuale e una banda di ransomware motivata da interessi economici che mira a bloccare le workstation per ottenere un pagamento estorsivo.

Lo scopo delle etichette «Storm» nelle prime fasi di indagine

Uno dei punti di confusione più comuni per i team che esplorano la threat intelligence è imbattersi in designazioni come Storm-0558. Quando Microsoft rileva un'attività malevola chiaramente organizzata e attiva, ma l'identità definitiva, il sostegno da parte di uno stato-nazione o la sponsorizzazione a lungo termine del gruppo restano non confermati, assegna un'etichetta provvisoria.

La parola Storm seguita da un numero di quattro cifre indica che l'attività è reale e pericolosa, ma l'attribuzione è ancora in fase di indagine attiva. Una volta che i ricercatori di sicurezza di Microsoft raccolgono prove definitive sufficienti, come codice sovrapposto, infrastruttura condivisa o specifiche tattiche, tecniche e procedure (TTP), il gruppo passa da un'etichetta Storm provvisoria a un nome di famiglia meteorologico formale e permanente.

Colmare il divario con gli alias del settore

Diversi fornitori di sicurezza informatica hanno storicamente utilizzato nomi completamente diversi per gli stessi gruppi di minacce, causando una enorme confusione durante la risposta agli incidenti tra aziende diverse. Microsoft associa attivamente la propria tassonomia interna di denominazione a equivalenti storici del settore. Ad esempio, il gruppo russo noto internamente a Microsoft come Forest Blizzard è ampiamente monitorato nel settore come Fancy Bear o APT28.

Questo riferimento incrociato trasparente garantisce che, sia che un analista legga un briefing sulle minacce di Microsoft, di un altro provider cloud o di un feed di open-source intelligence, possa riconoscere immediatamente che tutti e tre i report descrivono esattamente lo stesso avversario. Elimina le congetture e semplifica la collaborazione tra più fornitori durante i principali incidenti di sicurezza.

Conclusione

Dare un senso alle moderne minacce informatiche richiede più che reagire a spie lampeggianti e log di errore: richiede di comprendere gli avversari umani che operano dietro lo schermo. Utilizzando convenzioni di denominazione strutturate come Typhoon, Blizzard e Storm, Microsoft aiuta le organizzazioni a contestualizzare gli avvisi e a collegare indicatori tecnici isolati a campagne criminali e di stati-nazione più ampie.

Per approfondire il DNS passivo, gli indicatori di compromissione e come sfruttare questi insight all'interno della tua azienda, ascolta l'episodio completo del podcast M365 FM per un'analisi completa e priva di gergo sulle moderne strategie di threat intelligence.

Domande frequenti

Che cosa significa il termine «Blizzard» nella threat intelligence di Microsoft?

Blizzard è un nome di famiglia usato da Microsoft per designare attori delle minacce e operazioni informatiche originati dalla Russia o allineati ad essa, che si concentrano tipicamente sullo spionaggio e sulla raccolta di intelligence geopolitica.

Perché Microsoft usa etichette «Storm» invece dei nomi?

Le etichette Storm sono designazioni provvisorie assegnate a cluster di minacce attivi di recente scoperta, quando l'identità sottostante o la sponsorizzazione da parte di uno stato-nazione del gruppo è ancora oggetto di indagine da parte dei ricercatori di sicurezza.

In che cosa differiscono i gruppi Tempest dai gruppi Typhoon?

I gruppi Tempest sono criminali motivati da interessi economici, concentrati su estorsione, ransomware e profitto, mentre i gruppi Typhoon sono entità sponsorizzate da uno stato o ad esso allineate che operano dalla Cina, principalmente focalizzate sullo spionaggio.

Altri fornitori di sicurezza usano i nomi degli attori delle minacce di Microsoft?

Altri fornitori usano spesso le proprie convenzioni di denominazione (come i numeri APT o i nomi di animali), mentre Microsoft associa attivamente i suoi nomi basati sul meteo a equivalenti del settore come APT28 o Fancy Bear, per garantire chiarezza tra i diversi fornitori.