Glosario y límites de uso del dataset

Glosario

Primero identificá qué se cuenta; después, qué afirma la fuente y hasta dónde llega esa afirmación.

Corpus

Alcance editorial de CTI LATAM: malware, PhaaS, BEC, ransomware, deepfakes, KYC y las demás líneas que el sitio investiga. No tiene un único total. El Atlas es un subconjunto de familias de malware y PhaaS: conserva el corte de 67 al 2026-09-29. Las investigaciones de campo no se suman automáticamente a ese número.

Atlas LATAM · Atlas China

Conjuntos separados de referencias sobre malware financiero. Atlas LATAM organiza la documentación regional; Atlas China no se fusiona con él. En la revisión de procedencia, el conjunto China conserva el estado SIN_VERIF. Nombrar ambos Atlas no certifica que tengan la misma validación. El artículo de cuatro casos y sus límites explica esa reserva.

Dataset propio · datos documentales

Referencias, fichas y clasificaciones reunidas para estudiar el alcance regional declarado por las fuentes. Los cruces entre familias, técnicas y países describen ese conjunto a una fecha: no constituyen telemetría propia. Una entrada ausente no equivale a una amenaza descartada. Véanse los criterios de citabilidad del dataset.

Frentes del dataset

Categorías de organización: Android; Windows, incluidos PoS/ATM y toolkits; PhaaS; y alertas institucionales. El frente de alertas es una muestra pequeña, no un radar regional. Los frentes permiten recorrer referencias con distinta función; sus tamaños no miden volumen de ataques.

Ficha ATT&CK

Ficha por familia que relaciona las técnicas descritas en sus fuentes con MITRE ATT&CK. El criterio declarado es conservador: cada técnica necesita respaldo documental. El mapeo no demuestra que una institución haya observado esas técnicas en su propia telemetría.

Familia de malware

Nombre con el que las fuentes agrupan muestras relacionadas por código o comportamiento y describen sus vínculos. El sitio conserva los alias y parentescos atribuidos a cada fuente. Compartir un nombre o una infraestructura no basta por sí solo para fusionar fichas: véase la tabla de alias y nombres canónicos.

Troyano bancario

Malware cuya función documentada apunta a credenciales, sesiones, fondos o facilitación de fraude bancario. Se clasifica por lo que describe la fuente. La etiqueta no certifica un incidente forense ni demuestra todas las capacidades de cualquier otra familia llamada «bancaria».

ATS (Automatic Transfer System)

Capacidad de iniciar o manipular transferencias automáticamente. En este dataset se registra cuando la fuente la describe; no se deduce del nombre bancario de la familia. La capacidad técnica y la cantidad de transferencias efectivamente realizadas son afirmaciones diferentes.

Overlay

Pantalla falsa superpuesta a una aplicación legítima para obtener datos, descrita con frecuencia en el frente Android. Registrar un overlay exige la referencia correspondiente; una interfaz parecida o el nombre de una familia no sustituyen esa evidencia.

PhaaS (phishing como servicio)

Paneles, kits e infraestructura de phishing ofrecidos como servicio. Es una categoría del dataset distinta de la instalación de malware en un dispositivo. La presencia de un kit no prueba por sí sola cuántas víctimas tuvo ni quién operó cada campaña.

AiTM / MitM

Intermediación documentada en una sesión para obtener credenciales, cookies u otros datos. El mecanismo concreto debe constar en la fuente; no se asigna sólo porque hubo fraude después del acceso. La nota sobre token y robo de sesión desarrolla el caso y sus límites.

Smishing · vishing

Smishing designa el phishing por SMS o mensajería corta, incluidos los canales que la fuente describa, como iMessage o RCS. Vishing se refiere al engaño por voz. Una alerta puede documentar esos canales sin identificar una familia de malware: no hay que inventarle un nombre.

Indicador de compromiso (IOC)

Rastro técnico —hash, dominio, IP o URL— publicado con su procedencia y contexto. El mapa y el dataset no sustituyen un feed operativo. Las investigaciones de campo pueden aportar indicadores propios, representados de forma no clicable. Cada indicador se interpreta con su fecha, alcance y uso declarado; su presencia no demuestra una infección del lector.

Investigación de campo

Observación propia del autor documentada en una investigación, separada de las referencias reunidas en el Atlas. Debe distinguir lo observado de lo evaluado o pendiente. Que una campaña estuviera activa durante la observación no prueba que siga activa al leer la página.

Prevalencia · cobertura documental

Prevalencia sería la frecuencia real en víctimas o telemetría; aquí no se mide. Cobertura documental es la presencia de referencias en el dataset y en su corte temporal. El artículo de países con datos y vacíos explica por qué no son un ranking de ataques.

Fuente primaria · secundaria

Primaria es el informe o alerta original que aporta el hallazgo; secundaria, la publicación que lo resume o reproduce. Una republicación no constituye una segunda confirmación independiente del mismo hecho. La fuente original sigue siendo el punto de contraste cuando está disponible.

Afirmación que excede la fuente

Cifra, geografía, atribución, parentesco o afirmación de primacía que va más allá del documento citado. La revisión debe acotarla, excluirla o dejarla pendiente con motivo. Una propuesta local de corrección no se presenta como ya publicada en el registro de correcciones.

Vacío de cobertura

País, técnica o familia sin evidencia en el conjunto revisado. Describe un límite de la documentación, no un territorio libre de amenazas. Tampoco permite evaluar por sí solo la cobertura o eficacia de un CERT, ni extrapolar víctimas de una mención agregada a «LATAM».

Límites de uso

El alcance de una cifra depende de su unidad, su referencia y su corte. Estas pautas orientan la lectura; no certifican cada entrada de las bases.