Notas de método en inteligencia de amenazas
Cómo pasar de una fuente a una afirmación citable sin convertir un indicio en una conclusión. Estas notas explican el criterio editorial del Atlas, sus cinco garantías declaradas y cómo leer un registro histórico de respaldo.
La página no promete vigilancia continua ni certifica por sí sola todo el dataset. Su función es mostrar qué exige una afirmación antes de publicarse y qué reservas deben acompañarla. Para ver esos límites en los conteos, consulte los países documentados y los vacíos de cobertura.
De la referencia a la afirmación
Leer una fuente no consiste únicamente en guardar su enlace. Para citarla hay que conservar quién publica, cuándo lo hace, qué describe y hasta dónde llega su evidencia. Una mención regional, una familia de malware y un incidente confirmado no son unidades intercambiables.
La lectura editorial separa tres planos: el contenido que el documento sostiene, la interpretación que se formula a partir de él y lo que permanece sin determinar. Cuando falta un país, una fecha o una relación, el dato no se completa por intuición. Una hipótesis puede documentarse como hipótesis; no debe ocupar el lugar de un hecho.
La nota sobre citabilidad del dataset desarrolla esas condiciones. El registro que aparece más abajo permite examinar cómo quedaron consignadas algunas afirmaciones, con sus fechas y reservas, sin convertir la selección en un censo de toda la evidencia disponible.
Señal de presión
El fraude financiero no llega por una sola puerta.
El recorrido de entrada, intervención y persistencia es un esquema de lectura. Una campaña puede combinar teléfono, navegador, kit y sesión bancaria, pero la ilustración no prueba que todos los casos compartan cadena ni operador. La relación debe sostenerse en las fuentes de cada investigación.
Entrada
Phishing, smishing, redes sociales y señuelos de apariencia institucional que buscan abrir la primera interacción.
Qué hace citable a un dataset de malware financiero
Criterios de inclusión, datos documentales y límites de los conteos.
La pregunta y la evidencia determinan la publicación
Una nota se justifica cuando responde una pregunta concreta con fuentes revisables y límites visibles. Publicar con mayor frecuencia no reemplaza esas condiciones. La fecha de un aviso, la del hecho descrito y la de una revisión editorial deben permanecer diferenciadas.
Cinco garantías declaradas y cómo leerlas
Son compromisos editoriales del sitio, no el resultado de una certificación externa. Esta página no detalla toda la estructura interna ni todo el procedimiento de curaduría. Cada garantía debe contrastarse con la referencia o versión que se pretende utilizar.
La afirmación técnica debe remitir a una referencia fechada. El enlace permite localizar el documento; no autoriza ampliar lo que ese documento demuestra.
Un punto que la fuente no sostiene se mantiene como no determinado. Separar la interpretación evita presentar una conclusión propia como una afirmación del proveedor.
La cifra debe poder relacionarse con el índice de la misma versión. Un conteo de familias documentadas no es un conteo de infecciones, víctimas o pérdidas.
La versión y las altas deben identificarse para que otro lector sepa qué se citó. Una fecha de revisión de la web no cambia retrospectivamente el período observado.
El sitio declara revisión por una persona antes de incorporar datos. Esa declaración no elimina errores ni acredita una segunda revisión independiente de cada fila.
Registro histórico de respaldo
La tabla conserva las nueve filas y sus estados de la versión recibida, con comprobaciones registradas al 19 de septiembre de 2026. No es una validación actual de todas las fuentes. R-04 conserva una cifra Pix pendiente de nuevo contraste documental; R-08 conserva un resultado de búsqueda en el corpus, no una ausencia regional; R-09 mantiene su estado no verificado. Las precisiones de R-05 y R-07 se distinguen después de la tabla.
| ID | Afirmación registrada | Referencia | Fecha de la referencia | Límite | Verificación |
|---|---|---|---|---|---|
| R-01 | Distribución de objetivos de PlayPraetor: Europa 58 %, América 12 %, con Perú entre los principales objetivos; crecimiento asociado a objetivos hispanohablantes. | Cleafy · PlayPraetor | Cifras del proveedor, no medidas de prevalencia regional ni contrastadas con otra fuente. | Verificada el 2026-09-19 · página abierta y leída | |
| R-02 | Correos falsos que invocan a la AFIP (multa pendiente, ZIP con VBS) descargan Grandoreiro; oleadas en 2025 en España, Argentina y México. ARCA advierte que ninguna comunicación que invoque a la AFIP es oficial. | ESET · Grandoreiro / AFIP | Describe campañas observadas; el dataset no registra una cifra de víctimas para esta afirmación. | Verificada el 2026-09-19 · página abierta y leída | |
| R-03 | Blind Eagle apunta a instituciones judiciales y gubernamentales de Colombia con archivos .url que imitan citaciones; campaña de diciembre de 2024 con más de 1.600 víctimas. | Check Point Research · Blind Eagle | La cifra corresponde a una campaña puntual, no al total de la actividad del actor. | Verificada el 2026-09-19 · página abierta y leída | |
| R-04 | Pix en 2025: 79,8 mil millones de transacciones (+25,7 %). | Banco Central do Brasil · Relatório de Gestão do Pix 2023–2025 | Cifra oficial de volumen de pagos; no mide fraude ni incidentes de malware. | Verificada el 2026-09-19 · PDF leído | |
| R-05 | PromptSpy, presentado por ESET como el primer malware Android conocido que abusa de IA generativa: usa Gemini para persistir; caso en Argentina. | ESET · PromptSpy | «Primero» es la afirmación de ESET a la fecha de su informe; el sitio la atribuye a la fuente y no la generaliza. | Verificada el 2026-09-19 · página abierta y leída | |
| R-06 | Operativo contra Grandoreiro: cinco administradores detenidos en Brasil en enero de 2024, con apoyo de Trend Micro, Kaspersky, Group-IB y Scitum. | INTERPOL · Grandoreiro | El operativo no cerró la actividad: Kaspersky (2024-10-22) indica que los operadores restantes siguen activos. | Verificada el 2026-09-19 · página abierta y leída | |
| R-07 | Balonx, PhaaS operado desde México con alquiler semanal: más de 350 dominios y más de 20 instituciones. | Group-IB · Balonx | Cifras del proveedor a la fecha de su informe; dominios y credenciales no son una medida de prevalencia. | Verificada el 2026-09-19 · página abierta y leída | |
| R-08 | Aumento de reportes desde 2023 de esquemas de fraude con medios deepfake: la IA generativa se usa para crear documentos, fotos y videos falsos. | FinCEN · Alerta FIN-2024-Alert004 | Alerta del sistema financiero de EE. UU., no una medición sobre LATAM; ninguna ficha LATAM del dataset menciona biometría facial ni deepfakes (0 coincidencias en la búsqueda del 2026-09-19). | Verificada el 2026-09-19 · PDF leído | |
| R-09 | Alertas del CNSD de Perú incluidas en el conjunto de alertas institucionales. | CNSD Perú · alertas 301-2025 y 330-2026 | sin fecha indicada | No verificada: el acceso devolvió error 403 y las búsquedas no dieron resultado. El sitio solo dice que completan el conjunto; no se usa para ninguna cifra. | No verificada al 2026-09-19 |
Precisiones de lectura: R-05 y R-07
R-05 · PromptSpy. ESET señala indicios de orientación a Argentina, pero declara que no lo había observado en su telemetría y contempla una prueba de concepto. «Caso en Argentina» no debe leerse como una infección local confirmada por ese proveedor.
R-07 · Balonx. Group-IB atribuye los más de 350 dominios al conjunto «Aclaraciones Banciaras» y Balonx. No corresponde asignar todo ese conjunto exclusivamente a Balonx. La fila histórica queda visible para identificar la diferencia, no para renovar su validación.
Qué comprobar antes de reutilizar un dato
Volver al documento, comprobar su alcance y citar la versión del dataset usada. Si se comparan países, no repartir una etiqueta «LATAM» entre jurisdicciones que la fuente no nombra. Si se comparan técnicas, no fusionar familias u operadores sólo por compartir vocabulario.
La síntesis sobre Grandoreiro y el frente Windows muestra otra distinción: actividad documentada después de un operativo no equivale a una comprobación de actividad en tiempo real. El método consiste en mantener esa distancia entre evidencia y conclusión.