Glossário e limites de uso do dataset

Glossário

Primeiro identifique o que está sendo contado; depois, o que a fonte afirma e até onde essa afirmação alcança.

Corpus

Escopo editorial de CTI LATAM: malware, PhaaS, BEC, ransomware, deepfakes, KYC e as demais linhas investigadas no site. Não tem um total único. O Atlas é um subconjunto de famílias de malware e PhaaS, com o corte preservado de 67 em 2026-09-29. As investigações de campo não são somadas automaticamente a esse número.

Atlas LATAM · Atlas China

Conjuntos separados de referências sobre malware financeiro. Atlas LATAM organiza a documentação regional; Atlas China não é fundido com ele. Na revisão de procedência, o conjunto China mantém o estado SIN_VERIF — não verificado. Citar os dois não certifica validação equivalente. O artigo sobre quatro casos e seus limites explica a ressalva.

Dataset próprio · dados documentais

Referências, fichas e classificações reunidas para estudar o alcance regional declarado pelas fontes. Cruzamentos entre famílias, técnicas e países descrevem esse conjunto em uma data; não são telemetria própria. Uma entrada ausente não descarta uma ameaça. Veja os critérios de citabilidade do dataset.

Frentes do dataset

Categorias de organização: Android; Windows, incluindo PoS/ATM e toolkits; PhaaS; e alertas institucionais. A frente de alertas é uma amostra pequena, não um radar regional. As frentes ajudam a percorrer referências com funções diferentes; seus tamanhos não medem o volume de ataques.

Ficha ATT&CK

Ficha de uma família que relaciona técnicas descritas nas fontes ao MITRE ATT&CK. O critério declarado é conservador: cada técnica precisa de apoio documental. O mapeamento não demonstra que uma instituição observou essas técnicas em sua própria telemetria.

Família de malware

Nome utilizado pelas fontes para agrupar amostras relacionadas por código ou comportamento e descrever seus vínculos. O site preserva aliases e parentescos atribuídos a cada fonte. Nome ou infraestrutura compartilhados não bastam para fundir fichas; veja a tabela de aliases e nomes canônicos.

Trojan bancário

Malware cuja função documentada visa credenciais, sessões, fundos ou facilitação de fraude bancária. A classificação segue a fonte. O rótulo não certifica um incidente forense nem demonstra todas as capacidades associadas a outra família bancária.

ATS (Automatic Transfer System)

Capacidade de iniciar ou manipular transferências automaticamente. O dataset a registra quando a fonte a descreve, não apenas porque uma família é chamada de bancária. Capacidade técnica e quantidade de transferências realizadas são afirmações diferentes.

Overlay

Tela falsa sobreposta a um aplicativo legítimo para obter dados, frequentemente descrita na frente Android. Registrar um overlay exige a referência correspondente; uma interface semelhante ou um nome de família não substituem a evidência.

PhaaS (phishing como serviço)

Painéis, kits e infraestrutura de phishing oferecidos como serviço. Essa categoria do dataset é distinta da instalação de malware em um dispositivo. A presença de um kit não estabelece o número de vítimas nem identifica o operador de cada campanha.

AiTM / MitM

Intermediação documentada de uma sessão para obter credenciais, cookies ou outros dados. O mecanismo específico precisa constar na fonte; fraude após o login não o demonstra por si só. A nota sobre token e roubo de sessão desenvolve o caso e seus limites.

Smishing · vishing

Smishing é phishing por SMS ou mensagens curtas, incluindo iMessage ou RCS quando descritos pela fonte. Vishing se refere ao engano por voz. Um alerta pode documentar esses canais sem identificar uma família de malware; não se deve inventar um nome.

Indicador de comprometimento (IOC)

Rastro técnico — hash, domínio, IP ou URL — publicado com procedência e contexto. O mapa e o dataset não substituem um feed operacional. Investigações de campo podem fornecer indicadores próprios em formato não clicável. Cada indicador deve ser interpretado por data, alcance e uso declarado; sua presença não demonstra uma infecção do leitor.

Investigação de campo

Observação própria do autor documentada em uma investigação, separada das referências do Atlas. Deve distinguir o observado das avaliações e questões pendentes. Uma campanha ativa durante a observação não está necessariamente ativa quando a página é lida.

Prevalência · cobertura documental

Prevalência seria a frequência real em vítimas ou telemetria; ela não é medida aqui. Cobertura documental é a presença de referências no dataset em seu corte temporal. O artigo sobre países com dados e lacunas explica por que isso não é um ranking de ataques.

Fonte primária · secundária

Primária é a publicação original que apresenta o achado; secundária é a que o resume ou republica. A republicação não é uma segunda confirmação independente do mesmo fato. O documento original continua sendo a referência para comparação quando disponível.

Afirmação que excede a fonte

Número, geografia, atribuição, parentesco ou afirmação de pioneirismo que vai além do documento citado. A revisão deve delimitar, excluir ou manter a questão pendente, com justificativa. Uma proposta local de correção não pode ser apresentada como já publicada no registro de correções.

Lacuna de cobertura

País, técnica ou família sem evidência no conjunto revisado. É um limite documental, não um território sem ameaças. Não permite avaliar isoladamente a cobertura ou eficácia de um CERT, nem inferir vítimas de uma referência agregada à LATAM.

Limites de uso

O alcance de um número depende de sua unidade, referência e data de corte. Estas regras de leitura não certificam cada entrada das bases.