CYBER THREAT INTELLIGENCE LATINOAMÉRICA · Inteligencia estratégica sobre fraude financiero digital Ver el blog
Investigación editorial independiente · América Latina

Dataset propio · datos al 2026-09-29

Mapa de amenazas financieras en América Latina

Qué familias de malware financiero documentan las fuentes en cada país. Cada dato remite a una referencia verificable; los conteos describen el dataset, no la prevalencia real.

Ver el mapa Pedir el informeLeer el blog
familias en el dataset
67

Familias por plataforma

Android 31

AntidotAnubisBeatBankerBrasDexBRATACopybaraDevilNFCGhimobGigabudGoatRATGodfatherHerodotusHookHydraK99 Triumph CityMedusaNFCMultiPayNFU PayNGatePixBankBotPixPiratePixRevolutionPixStealerPromptSpyRocinanteSpyLoanSpyNoteToxicPandaTsarBotXenomorphZanubis

Windows y PoS/ATM 28

AmavaldoBanana RATBBTokBizarroBlind EagleCasbaneiroChavecloakCoyoteGoPixGrandoreiroGuildmaJanelaRATJaneleiroJavaliKREMLINLampionMekotioMispaduNFe-RATNumandoOkoBotPrilexSCMBANKERStarland RATTCLBANKERVadokristVenonWater Saci

PhaaS 8

Balonx SistemaDarculaGitBaitKit BDV multibancoLucidPhoenix SystemShadowParasiteVX-Pack

Ver el explorador de familias →
alertas institucionales
7

Alertas de organismos

países con familias documentadas
9

Familias por país

  • Brasil36
  • México14
  • Perú7
  • Colombia6
  • Argentina4
  • Chile2
  • Venezuela2
  • Paraguay1
  • Costa Rica1

18 territorios sin familias en el dataset

técnicas ATT&CK*
64

Técnicas ATT&CK que usan las familias

53 de 67 familias tienen ficha con técnicas · datos al 2026-09-29

  • T1417.002Input Capture: GUI Input Capture15
  • T1516Input Injection12
  • T1660Phishing10
  • T1566Phishing9
  • T1417Input Capture8
  • T1102Web Service7
  • T1219Remote Access Software6
  • T1513Screen Capture6
  • T1056Input Capture5
  • T1418Software Discovery4
  • T1636.004Protected User Data: SMS Messages4
  • T1105Ingress Tool Transfer3
  • T1115Clipboard Data3
  • T1189Drive-by Compromise3
  • T1406Obfuscated Files or Information3
  • T1437.001Application Layer Protocol: Web Protocols3
  • T1566.001Phishing: Spearphishing Attachment3
  • T1574.002Hijack Execution Flow: DLL Side-Loading3
  • T1027Obfuscated Files or Information2
  • T1027.001Obfuscated Files or Information: Binary Padding2
  • T1036Masquerading2
  • T1059.001Command and Scripting Interpreter: PowerShell2
  • T1059.005Command and Scripting Interpreter: Visual Basic2
  • T1071Application Layer Protocol2
  • T1185Browser Session Hijacking2
  • T1204.002User Execution: Malicious File2
  • T1218System Binary Proxy Execution2
  • T1417.001Input Capture: Keylogging2
  • T1430Location Tracking2
  • T1534Internal Spearphishing2
  • T1547.001Boot or Logon Autostart Execution: Registry Run Keys2
  • T1566.002Phishing: Spearphishing Link2
  • T1568.002Dynamic Resolution: Domain Generation Algorithms2
  • T1614.001System Location Discovery2
  • T1633Virtualization2
  • T1636.003Protected User Data: Contact List2
  • T1053.005Scheduled Task1
  • T1055Process Injection1
  • T1056.001Input Capture: Keylogging1
  • T1082System Information Discovery1
  • T1110Brute Force1
  • T1113Screen Capture1
  • T1114.001Email Collection: Local Email Collection1
  • T1200Hardware Additions1
  • T1218.007System Binary Proxy Execution: Msiexec1
  • T1426System Information Discovery1
  • T1476Deliver Malicious App1
  • T1496Resource Hijacking1
  • T1497Virtualization1
  • T1497.001Virtualization1
  • T1499Endpoint DoS1
  • T1550Use Alternate Authentication Material1
  • T1555Credentials from Password Stores1
  • T1555.003Credentials from Web Browsers1
  • T1557Adversary-in-the-Middle1
  • T1564Hide Artifacts1
  • T1567Exfiltration Over Web Service1
  • T1598Phishing for Information1
  • T1625Hijack Execution Flow1
  • T1629.002Impair Defenses1
  • T1630Account Access Removal1
  • T1636.001Protected User Data: Calendar Entries1
  • T1636.002Protected User Data: Call Logs1
  • T1646Exfiltration Over C2 Channel1

* Análisis descriptivo con datos al 15 de septiembre: 64 técnicas distintas y 171 pares familia–técnica.

Qué documenta el dataset

Números del dataset a la fecha de los datos. No son prevalencia de campo, ranking de riesgo ni volumen de incidentes observados.

Android

31 familias

Troyanos bancarios móviles, overlays, relay NFC y stealers de Pix.

Familias documentadas · 31

AntidotAnubisBeatBankerBrasDexBRATACopybaraDevilNFCGhimobGigabudGoatRATGodfatherHerodotusHookHydraK99 Triumph CityMedusaNFCMultiPayNFU PayNGatePixBankBotPixPiratePixRevolutionPixStealerPromptSpyRocinanteSpyLoanSpyNoteToxicPandaTsarBotXenomorphZanubis

Países con más familias

  • Brasil13
  • Perú4
  • Colombia2
  • Argentina1
  • México1

Conteo de lo documentado, no prevalencia.

Ver estas 31 en el explorador →

Windows / PoS

28 familias

Bancarios de escritorio, toolkits y malware de punto de venta.

Familias documentadas · 28

AmavaldoBanana RATBBTokBizarroBlind EagleCasbaneiroChavecloakCoyoteGoPixGrandoreiroGuildmaJanelaRATJaneleiroJavaliKREMLINLampionMekotioMispaduNFe-RATNumandoOkoBotPrilexSCMBANKERStarland RATTCLBANKERVadokristVenonWater Saci

Países con más familias

  • Brasil22
  • México10
  • Argentina3
  • Chile2
  • Colombia2

Conteo de lo documentado, no prevalencia.

Ver estas 28 en el explorador →

PhaaS

8 familias

Phishing como servicio, smishing/RCS e infraestructura AiTM.

Familias documentadas · 8

Balonx SistemaDarculaGitBaitKit BDV multibancoLucidPhoenix SystemShadowParasiteVX-Pack

Países con más familias

  • México3
  • Colombia2
  • Brasil1
  • Costa Rica1
  • Perú1

Conteo de lo documentado, no prevalencia.

Ver estas 8 en el explorador →

CERT y reguladores

7 alertas

Alertas institucionales; no son familias de malware.

Alertas de organismos

Limitaciones

Este mapa parte de un dataset propio, curado a mano para América Latina y el Caribe y con referencias verificables. Mide lo que está documentado; no mide cuánto malware hay en la región.

01

No es prevalencia

Los conteos son del dataset a la fecha de los datos. No son un ranking de riesgo por país ni por familia.

02

Ausencia ≠ amenaza cero

Los países sin evidencia se marcan como vacíos de cobertura, no como territorio limpio.

03

Una mención no prueba víctimas

Un país citado en las fuentes no implica que haya víctimas allí. Y el tamaño del conteo depende de la literatura disponible: Brasil concentra la mayor parte de la documentación pública.

04

Las alertas oficiales no miden volumen

Las alertas de CERT y reguladores anclan la voz institucional; no miden volumen ni cobertura.

Mapa por país

Seleccionar un país para ver las familias documentadas. El color indica cuántas familias mencionan al país en sus fuentes, no cuánta actividad hay.

Familias que mencionan al país
  • Vacío · bajo investigación
  • 1–2
  • 3–5
  • 6–10
  • 11 o más
  • Solo alertas institucionales

País por país

Lista completa del mapa en texto: los países con familias documentadas y los que solo tienen alertas institucionales.

Brasil 36 familias documentadas

PixPirate BrasDex PixBankBot PixStealer Ghimob GoatRAT Herodotus NGate NFCMultiPay PixRevolution Gigabud K99 Triumph City NFU Pay Mekotio Casbaneiro Guildma Javali Mispadu Numando Amavaldo Vadokrist Janeleiro Coyote Prilex Lampion BBTok JanelaRAT Chavecloak TCLBANKER NFe-RAT Water Saci Venon KREMLIN OkoBot Banana RAT VX-Pack

México 14 familias documentadas

Gigabud Grandoreiro Mekotio Casbaneiro Mispadu Numando Amavaldo BBTok JanelaRAT SCMBANKER OkoBot Balonx Sistema GitBait Kit BDV multibanco

Colombia 6 familias documentadas

Gigabud K99 Triumph City Casbaneiro Blind Eagle Kit BDV multibanco ShadowParasite

Argentina 4 familias documentadas

PromptSpy Casbaneiro Bizarro Blind Eagle

Venezuela 2 familias documentadas

Starland RAT Kit BDV multibanco

Paraguay 1 familia documentada

Ghimob

Costa Rica 1 familia documentada

Kit BDV multibanco

Vacíos de cobertura · bajo investigación

Países de América Latina y el Caribe sin evidencia documentada hasta ahora: no son «territorio limpio»; son vacíos de las fuentes disponibles. Están bajo investigación.

BahamasBeliceBoliviaCubaEcuadorEl SalvadorGuatemalaGuyanaHaitíHondurasNicaraguaPanamáPuerto RicoSurinamTrinidad y TobagoUruguay

Cuatro frentes del dataset

El dataset se ordena en Android, Windows y PoS, PhaaS y alertas institucionales. Cada frente tiene una lectura ampliada en el blog.

Android

Troyanos bancarios móviles, overlays, relay NFC y stealers de Pix. Incluye Zanubis, Medusa, NGate, Copybara y Herodotus.

Leer: overlays y Pix →

PhaaS · AiTM

Plataformas de phishing como servicio y kits: Balonx Sistema, GitBait, Lucid y Darcula.

Ver el informe →

Informe 2023–2026

Tres años de amenazas financieras en América Latina. El informe de cuatro páginas es de lectura libre; el estudio completo se entrega por solicitud institucional.

Ver el informe →

Inteligencia estratégica sobre fraude financiero digital

Esta publicación sigue cómo evolucionan las amenazas contra bancos, fintech y usuarios financieros de Latinoamérica y qué cambia para quienes deciden: patrones regionales, límites de la evidencia y escenarios. El blog reúne análisis con fuente y fecha; también hay feed RSS y el perfil profesional del autor en LinkedIn.

Blog

Análisis con fuente y fecha en cada afirmación.

→

RSS

Suscripción al feed para no perder entradas nuevas.

→

LinkedIn

Perfil profesional de Ezequiel Jorge La Terra.

→

Preguntas frecuentes

Cómo leer este dataset y este mapa.

¿Qué es Cyber Threat Intelligence LATAM?

Es una investigación independiente de inteligencia de amenazas estratégicas financieras en Latinoamérica: malware bancario, PhaaS y fraude, con fuentes verificables y firma de autor. Muestra qué cambia en el ecosistema para quienes toman decisiones; no es un servicio de monitoreo ni un feed en vivo.

¿Quién firma esta investigación?

Ezequiel Jorge La Terra, autor responsable. El perfil, el alcance del rol y lo que la firma no garantiza están en la página del autor.

¿El dataset mide cuánto malware hay en la región?

No. Es un dataset propio curado. Los conteos describen lo que las fuentes documentan con datos al 2026-09-29; ausencia en el dataset ≠ ausencia de amenaza.

¿Qué significa que un país aparezca coloreado en el mapa?

Que al menos una familia del dataset menciona a ese país en las fuentes citadas. Cuantas más familias lo mencionan, más intenso el color. No mide víctimas ni actividad. Los países sin color son vacíos de cobertura.

¿Por qué hay países sin datos?

Porque las fuentes verificables disponibles no los documentan hasta ahora. Es un vacío de cobertura, no una señal de seguridad, y esos países están bajo investigación.

¿Cómo se pide el informe o se hace una consulta?

En la página del informe está el informe de lectura libre en PDF; el estudio completo se solicita desde esa misma página. Las consultas y colaboraciones van por la página de contacto o por correo a contacto@cyberthreatintelligence.lat.

Informes y análisis relacionados

Encontrá el contexto, las fuentes y los límites de estas amenazas en los informes y artículos del sitio. Como lectura complementaria, consultá la investigación de campo CASHCLOAK LATAM, con su propio alcance y período de observación.

Leer los informes Leer los análisis