Texto oficial
Artículo cuarto. Establézcanse las siguientes categorías de incidentes, según el efecto observable:
i. Uso no autorizado de redes y sistemas informáticos:
a. Acceso no autorizado a almacenamiento.
b. Ataque de fuerza bruta exitoso.
c. Explotación de vulnerabilidades de autenticación.
d. Uso de credenciales comprometidas.
ii. Actividades de phishing o fraude en infraestructura propia:
a. Envío de correo no deseado o phishing desde infraestructura propia.
b. Inclusión de sitio fraudulento en infraestructura propia.
iii. Actividades de phishing o fraude relacionadas con la institución:
a. Envío de correo no deseado o phishing sobre una organización.
b. Envío de correo no deseado o phishing usando remitentes de la institución.
iv. Ejecución no autorizada de código:
a. Ejecución remota de código a través de parámetros de aplicación.
b. Inyección de requerimientos (prompts) en modelos grandes de lenguaje (LLM).
c. Inyección de consultas NoSQL.
d. Inyección de consultas SQL.
v. Exfiltración y/o exposición de datos:
a. Adversario en el medio (MitM).
b. Apropiación de credenciales mediante phishing.
c. Base de datos sin protección (S3 buckets, Elasticsearch, MongoDB expuestos).
d. Documentos públicos con datos sensibles.
e. Filtración de datos personales.
f. Keylogger en uso.
g. Divulgación de enumeraciones de usuarios y/o credenciales de usuarios en foros.
vi. Exfiltración y/o exposición de configuraciones:
a. Filtración de configuraciones en rutas de aplicación.
b. Filtración de secretos en rutas de aplicación.
vii. Exfiltración y/o exposición de código fuente:
a. Archivo(s) de control de versión expuestos en aplicación.
b. Sistema de control de versión expuesto.
viii. Indisponibilidad y/o denegación de servicio:
a. Agotamiento de conexiones TCP.
b. Apagado no autorizado de sistemas informáticos.
c. Ataque de amplificación DNS/NTP.
d. Ataque físico contra infraestructura TI.
e. Denegación de servicio a través de la explotación de vulnerabilidades.
f. Eliminación de configuraciones críticas.
g. Tráfico de red excesivo (volumétrico).
ix. Degradación de servicio:
a. Secuestro de recursos (cryptojacking).
b. Sobrecarga de bases de datos.
c. Uso excesivo de ancho de banda.
x. Modificación no autorizada de datos:
a. Alteración de bases de datos.
b. Alteración de sitio web (defacement).
c. Manipulación de datos no autentificados.
d. Modificación de logs de auditoría.
xi. Manipulación no autorizada de configuración:
a. Alteración de reglas de firewall.
b. Desactivación de registros de seguridad.
c. Modificación de políticas de acceso.