Glosario de Ciberseguridad Ofensiva

Definiciones claras y autocontenidas de términos de pentesting, Red Team, bug bounty y cumplimiento normativo (NIS2, DORA, CRA).

• Abuso de roles entre cuentas cloud — El abuso de roles entre cuentas cloud (Cross-Account Role Abuse) consiste en aprovechar una relación de confianza mal configurada entre cuentas (por ejemplo, un rol IAM asumible desde una cuenta externa con permisos más amplios de los necesarios) para saltar de una cuenta comprometida a otra con mayor privilegio.
• Acceso Just-In-Time (JIT) — El acceso Just-In-Time (JIT) es un modelo de gestión de privilegios en el que los permisos elevados se conceden a un usuario solo durante el tiempo estrictamente necesario para completar una tarea concreta, revocándose automáticamente después, en lugar de mantener privilegios permanentes.
• Actualización OTA (Over-the-Air) — Una actualización OTA (Over-the-Air) es un mecanismo que permite distribuir e instalar actualizaciones de firmware o software en un dispositivo de forma remota, sin necesidad de acceso físico. Si el proceso no verifica la integridad y autenticidad del paquete mediante firma digital, un atacante puede abusar de él para distribuir firmware malicioso a gran escala.
• Adware — El adware es un software que muestra publicidad no deseada en un dispositivo, a menudo redirigiendo el navegador o insertando anuncios en aplicaciones legítimas. Aunque no siempre es tan dañino como otro malware, puede degradar el rendimiento del sistema y actuar como vector de entrada para amenazas más graves.
• AEPD (Agencia Española de Protección de Datos) — La AEPD (Agencia Española de Protección de Datos) es la autoridad de control española encargada de supervisar el cumplimiento del RGPD, resolver reclamaciones de los ciudadanos e imponer sanciones por infracciones de protección de datos.
• AES (Advanced Encryption Standard) — AES (Advanced Encryption Standard) es un algoritmo de cifrado simétrico por bloques, adoptado como estándar por el gobierno de EE. UU. en 2001, que opera con claves de 128, 192 o 256 bits y es ampliamente utilizado para proteger datos en reposo y en tránsito.
• Agencia excesiva en IA (Excessive Agency) — La agencia excesiva en IA (Excessive Agency) es una vulnerabilidad en la que a un sistema basado en LLM se le conceden permisos, funciones o autonomía superiores a los necesarios para su tarea, permitiendo que una respuesta manipulada o errónea del modelo derive en acciones dañinas no previstas.
• AI Act (Reglamento Europeo de IA) — El AI Act (Reglamento UE 2024/1689) es la primera ley integral del mundo sobre inteligencia artificial: clasifica los sistemas de IA por nivel de riesgo y exige, para los de alto riesgo, evaluaciones de conformidad, transparencia y supervisión humana, con sanciones de hasta el 7% de la facturación global.
• AI Red Teaming — El AI Red Teaming aplica la metodología del Red Team tradicional a sistemas de inteligencia artificial: ataca de forma activa y adversarial un modelo o una aplicación basada en IA para encontrar prompt injections, jailbreaks, fugas de datos de entrenamiento y otros fallos antes de que lo haga un atacante real.
• AI-BOM (Inventario de modelos de IA) — Un AI-BOM (AI Bill of Materials) es un inventario detallado de los componentes que integran un sistema de inteligencia artificial —modelos, datasets, dependencias y bibliotecas—, que permite a una organización rastrear su procedencia, evaluar riesgos y responder ante vulnerabilidades de la cadena de suministro de IA.
• Air Gap (aislamiento físico de red) — Un air gap es una medida de seguridad que consiste en aislar físicamente una red o sistema crítico de cualquier otra red, incluida internet, para impedir el acceso remoto no autorizado. Aunque dificulta considerablemente los ataques, no los hace imposibles: dispositivos USB infectados o ataques a la cadena de suministro pueden vulnerar el aislamiento.
• Alcance de un programa (Scope) — El alcance (scope) de un programa de bug bounty define los activos, dominios y tipos de vulnerabilidad que los investigadores pueden probar legítimamente, delimitando lo que la empresa acepta como parte del programa.
• Alucinación de IA — Una alucinación de IA es una respuesta generada por un modelo de lenguaje que presenta información falsa, inventada o incoherente con los datos de origen como si fuera un hecho verificado, un riesgo relevante en contextos donde la salida del modelo se usa para decisiones sin supervisión humana.
• Amenaza interna (Insider Threat) — Una amenaza interna es el riesgo que representa una persona con acceso legítimo a los sistemas de una organización —empleado, proveedor, ex-empleado— que, de forma intencionada o por negligencia, compromete la seguridad o filtra información desde dentro.
• Análisis de brechas (Gap Analysis) — El análisis de brechas (Gap Analysis) compara el estado actual de seguridad de una organización con el nivel exigido por una norma o estándar de referencia, identificando las carencias que deben cubrirse para alcanzar el cumplimiento.
• Análisis de Impacto en el Negocio (BIA) — El Análisis de Impacto en el Negocio (BIA) evalúa las consecuencias operativas, financieras y reputacionales de la interrupción de procesos críticos, estableciendo prioridades de recuperación para la continuidad de negocio.
• Análisis de riesgo de ciberseguridad — El análisis de riesgo de ciberseguridad es el proceso de identificar activos, amenazas y vulnerabilidades para estimar la probabilidad e impacto de un incidente, sirviendo de base para decidir qué controles implementar.
• Análisis forense digital (Digital Forensics) — El análisis forense digital reconstruye, de forma técnica y con validez legal, qué ocurrió exactamente en un incidente de seguridad: qué sistemas se vieron afectados, cómo entró el atacante y qué datos se vieron comprometidos.
• Analista de GRC — Un analista de GRC (Gobierno, Riesgo y Cumplimiento) evalúa el cumplimiento normativo de una organización, gestiona registros de riesgo y coordina auditorías internas y externas.
• Analista de malware — Un analista de malware examina muestras de software malicioso mediante ingeniería inversa para entender su comportamiento, origen e impacto, y así generar indicadores de compromiso y medidas de mitigación.
• Analista SOC — Un analista SOC (Security Operations Center) monitoriza alertas de seguridad en tiempo real, investiga eventos sospechosos y escala incidentes confirmados según los procedimientos de respuesta de la organización.
• Anonimización de datos — La anonimización de datos es el proceso irreversible de eliminar o transformar la información personal de un conjunto de datos de forma que ninguna persona pueda ser identificada, quedando fuera del ámbito de aplicación del RGPD.
• Apetito de riesgo (Risk Appetite) — El apetito de riesgo es el nivel de riesgo que una organización está dispuesta a aceptar para alcanzar sus objetivos de negocio, definido por la alta dirección y utilizado como referencia para las decisiones de seguridad.
• API Gateway — Un API Gateway es un componente que centraliza el acceso a un conjunto de APIs, gestionando autenticación, autorización, rate limiting y enrutamiento, y que se convierte en un punto crítico de seguridad porque una mala configuración expone de golpe todos los servicios que hay detrás.
• APT (Advanced Persistent Threat) — Una APT es un actor de amenaza (a menudo respaldado por un estado o con recursos elevados) que mantiene acceso encubierto y prolongado a los sistemas de una víctima durante meses o años, priorizando el sigilo sobre la velocidad.
• ARP Spoofing — El ARP Spoofing es una técnica de ataque en redes locales en la que un atacante envía mensajes ARP (Address Resolution Protocol) falsificados para asociar su dirección MAC con la IP de otro dispositivo, permitiéndole interceptar, modificar o bloquear el tráfico destinado a ese equipo.
• Arquitecto de seguridad — Un arquitecto de seguridad diseña la infraestructura y los controles de seguridad de una organización, asegurando que los sistemas se construyan siguiendo principios de defensa en profundidad desde su concepción.
• Ataque a la cadena de suministro — Un ataque a la cadena de suministro compromete un proveedor, librería de software o dependencia de terceros para alcanzar, a través de él, a organizaciones que confían en ese componente — sin atacarlas directamente.
• Ataque DCSync — DCSync es una técnica de ataque que abusa de los permisos de replicación de Active Directory para hacerse pasar por un controlador de dominio y solicitar directamente los hashes de contraseña de cualquier cuenta, incluidas las de administrador, sin necesidad de ejecutar código en el propio controlador.
• Ataque de amplificación DNS — Un ataque de amplificación DNS es un tipo de denegación de servicio distribuida (DDoS) en el que el atacante envía consultas DNS con la dirección IP de la víctima falsificada a servidores DNS abiertos, provocando que estos envíen respuestas mucho mayores que la consulta original hacia la víctima.
• Ataque de cadena de formato — Un ataque de cadena de formato explota funciones que aceptan cadenas de formato controladas por el usuario (como printf en C) sin la validación adecuada, permitiendo leer o escribir en zonas arbitrarias de memoria y, en algunos casos, ejecutar código.
• Ataque de canal lateral (Side-Channel Attack) — Un ataque de canal lateral (side-channel attack) explota información filtrada por la implementación física de un sistema criptográfico, como el tiempo de ejecución, el consumo eléctrico o las emisiones electromagnéticas, en lugar de atacar el algoritmo matemático en sí.
• Ataque de inferencia de pertenencia — Un ataque de inferencia de pertenencia intenta determinar si un registro concreto formó parte del conjunto de datos de entrenamiento de un modelo de IA, analizando diferencias en su comportamiento o confianza ante esa entrada, lo que puede vulnerar la privacidad de las personas cuyos datos se usaron.
• Ataque de préstamo flash (Flash Loan Attack) — Un ataque de préstamo flash (Flash Loan Attack) aprovecha un préstamo sin garantía que se toma y devuelve dentro de una misma transacción para manipular temporalmente el precio de un activo en un protocolo DeFi (por ejemplo, en un oráculo o pool de liquidez) y extraer beneficio antes de que la transacción finalice.
• Ataque de reentrada (Reentrancy) — Un ataque de reentrada (Reentrancy) explota un smart contract que realiza una llamada externa antes de actualizar su propio estado interno, permitiendo que el contrato llamado vuelva a invocar la función original repetidamente y drene fondos antes de que el saldo se actualice.
• Ataque del 51% — Un ataque del 51% ocurre cuando una entidad o grupo consigue controlar más de la mitad del poder de cómputo o de staking de una red blockchain, lo que le permite revertir transacciones confirmadas (double spending) o bloquear la inclusión de nuevas transacciones de otros participantes.
• Ataque USB Drop — Un ataque USB drop consiste en dejar dispositivos USB infectados en lugares estratégicos con la esperanza de que un empleado los conecte a un equipo corporativo, ejecutando así malware de forma involuntaria.
• Ataque watering hole — Un ataque watering hole consiste en comprometer un sitio web que se sabe que visita habitualmente el colectivo objetivo, por ejemplo empleados de un sector concreto, para infectar a sus visitantes en lugar de atacarlos directamente. Es una técnica frecuente en campañas dirigidas contra organizaciones concretas.
• Auditor líder ISO 27001 — Un auditor líder ISO 27001 es un profesional certificado para dirigir auditorías del sistema de gestión de seguridad de la información de una organización frente a los requisitos de la norma ISO/IEC 27001.
• Auditoría de seguridad — Una auditoría de seguridad es la evaluación sistemática e independiente de los controles, políticas y procesos de seguridad de una organización para verificar su cumplimiento con normativas o estándares y detectar debilidades.
• Auditoría de smart contracts — Una auditoría de smart contracts es una revisión manual y automatizada del código de un contrato antes de su despliegue en producción, centrada en detectar vulnerabilidades como reentrancy, overflow aritmético, control de acceso deficiente o lógica de negocio explotable, dado que corregir un fallo tras el despliegue puede ser imposible.
• Auditoría interna vs. externa — La auditoría interna es realizada por personal propio de la organización para evaluar sus controles de forma continua, mientras que la auditoría externa la lleva a cabo un tercero independiente, generalmente exigida para certificaciones o cumplimiento regulatorio.
• Autenticación biométrica — La autenticación biométrica verifica la identidad de una persona mediante características físicas o de comportamiento únicas, como huellas dactilares, reconocimiento facial o patrones de voz.
• Autenticación reforzada (Step-Up Authentication) — La autenticación reforzada (Step-Up Authentication) consiste en exigir un factor de verificación adicional cuando un usuario ya autenticado intenta realizar una acción de mayor riesgo o sensibilidad, como cambiar su contraseña o autorizar una transferencia, sin necesidad de volver a iniciar sesión por completo.
• Autenticación rota (Broken Authentication) — La autenticación rota agrupa fallos en los mecanismos de identificación y gestión de sesión de una aplicación, como contraseñas débiles, tokens de sesión predecibles o ausencia de protección frente a fuerza bruta, que permiten a un atacante suplantar a un usuario legítimo. Suele explotarse junto a otras debilidades para escalar privilegios.
• Backups inmutables — Los backups inmutables son copias de seguridad que, una vez escritas, no pueden modificarse ni eliminarse durante un periodo definido, ni siquiera por una cuenta con privilegios administrativos. Esta propiedad las protege frente a un atacante que, tras comprometer las credenciales, intente destruir las copias para forzar el pago de un rescate.
• Baiting — Baiting es un ataque de ingeniería social que atrae a la víctima con un cebo (un USB "olvidado", una descarga gratuita o una oferta tentadora) para que ejecute malware o entregue sus credenciales sin darse cuenta.
• bcrypt, scrypt y Argon2 — bcrypt, scrypt y Argon2 son algoritmos de hashing diseñados específicamente para almacenar contraseñas, ya que introducen un coste computacional y de memoria deliberadamente alto que ralentiza los ataques de fuerza bruta frente a funciones hash genéricas como SHA-256.
• BEC (Business Email Compromise) — El fraude BEC, también llamado "fraude del CEO", ocurre cuando un atacante compromete o suplanta una cuenta de correo corporativa (a menudo de un directivo) para engañar a un empleado y conseguir una transferencia bancaria u otra acción fraudulenta.
• Black Box / White Box / Grey Box — Son los tres niveles de información con los que se ejecuta un pentesting: black box (sin ningún acceso ni documentación previa, como un atacante externo real), white box (con acceso completo al código y la configuración) y grey box (un punto intermedio, con credenciales de usuario pero sin código fuente).
• Blockchain — Una blockchain es una estructura de datos distribuida e inmutable en la que las transacciones se agrupan en bloques enlazados criptográficamente y se validan mediante un mecanismo de consenso entre nodos, sin necesidad de una autoridad central que garantice su integridad.
• Blue Team — El Blue Team es el equipo defensivo de una organización: responsable de detectar, contener y responder a intrusiones, gestionar el SIEM/EDR y mantener las defensas operativas frente a ataques reales o simulados.
• BOLA (Broken Object Level Authorization) — BOLA es el fallo de control de acceso donde una API devuelve datos de un objeto (por ejemplo, el pedido de otro usuario) sin comprobar si quien lo solicita tiene permiso real sobre ese objeto concreto — es la vulnerabilidad #1 del OWASP API Security Top 10.
• Bomba lógica (Logic Bomb) — Una bomba lógica es un fragmento de código malicioso insertado en un programa o sistema legítimo que permanece inactivo hasta que se cumple una condición determinada, como una fecha concreta, una acción del usuario o la ausencia de una señal periódica, momento en el que ejecuta su acción dañina. Es una técnica habitual en casos de sabotaje interno por parte de empleados o antiguos empleados.
• Bootkit — Un bootkit es un tipo de malware que infecta el proceso de arranque de un sistema, como el MBR, la UEFI o el gestor de arranque, para ejecutarse antes que el propio sistema operativo, lo que le permite ocultarse y sobrevivir a reinicios o reinstalaciones. Su eliminación suele requerir reescribir el firmware o el sector de arranque afectado.
• Botnet — Una botnet es una red de dispositivos comprometidos (ordenadores, IoT, servidores) controlados de forma remota y centralizada por un atacante, habitualmente usada para lanzar ataques DDoS, distribuir spam o minar criptomonedas sin conocimiento de sus dueños.
• Botnet de dispositivos IoT — Una botnet IoT es una red de dispositivos conectados a internet, como cámaras, routers o grabadores de vídeo, infectados con malware y controlados de forma remota por un atacante, habitualmente para lanzar ataques de denegación de servicio distribuido (DDoS) a gran escala. Su proliferación se debe en buena parte al uso de credenciales por defecto y firmware sin actualizar.
• Brecha de datos (Data Breach) — Una brecha de datos es cualquier incidente de seguridad que resulta en el acceso, divulgación, alteración o pérdida no autorizada de datos, especialmente relevante cuando afecta a datos personales sujetos a RGPD.
• Bucket de almacenamiento público expuesto — Un bucket de almacenamiento público expuesto es un contenedor de objetos cloud (S3, Azure Blob, Google Cloud Storage) cuyos permisos permiten lectura o escritura desde internet sin autenticación, una de las causas más frecuentes de filtración de datos sensibles en entornos cloud.
• Bug Bounty — Un programa de bug bounty recompensa económicamente a investigadores de seguridad externos por encontrar y reportar vulnerabilidades en los sistemas de una empresa, con pagos proporcionales a la severidad del hallazgo.
• Bug bounty hunter — Un bug bounty hunter es un investigador de seguridad independiente que busca vulnerabilidades en programas de bug bounty públicos o privados a cambio de recompensas económicas.
• Bus CAN (vehículos conectados) — El bus CAN (Controller Area Network) es el protocolo de comunicación interno que emplean la mayoría de vehículos modernos para que sus unidades de control electrónico, como el motor, los frenos o los airbags, intercambien mensajes. Al no incorporar autenticación ni cifrado por diseño, un atacante con acceso físico o remoto a la red CAN puede inyectar mensajes falsos para manipular funciones críticas del vehículo.
• C2 (Command and Control) — La infraestructura de C2 es el canal que un atacante usa para comunicarse con los sistemas comprometidos tras una intrusión: enviar comandos, exfiltrar datos y mantener persistencia, normalmente diseñado para evadir la detección del equipo defensivo.
• Cabeceras de seguridad HTTP mal configuradas — Las cabeceras de seguridad HTTP mal configuradas son ausencias o valores incorrectos en cabeceras como Content-Security-Policy, Strict-Transport-Security o X-Frame-Options, que dejan a los usuarios de una web expuestos a ataques como clickjacking, cross-site scripting o degradación a HTTP sin cifrar. Su revisión es uno de los controles más rápidos de aplicar en una auditoría web.
• Cadena de custodia (Chain of Custody) — La cadena de custodia es el registro documentado e ininterrumpido de quién ha tenido acceso a una evidencia digital y cuándo, un requisito imprescindible para que esa evidencia sea admisible en un procedimiento legal o disciplinario.
• Carta de autorización (Get Out of Jail Free Letter) — La carta de autorización (Get Out of Jail Free Letter) es el documento legal firmado por el cliente que autoriza explícitamente al equipo de pentesting o red team a realizar las pruebas acordadas, protegiendo a los profesionales frente a posibles implicaciones legales durante el ejercicio.
• CASB (Cloud Access Security Broker) — Un CASB es una capa de seguridad situada entre los usuarios de una organización y los servicios en la nube que utilizan, que aplica políticas de visibilidad, control de acceso, prevención de fuga de datos y detección de amenazas de forma consistente entre distintas aplicaciones SaaS. Ayuda a detectar el uso de shadow IT en la nube.
• CDN (Red de Distribución de Contenidos) — Una CDN (Content Delivery Network) es una red distribuida de servidores ubicados en distintas localizaciones geográficas que almacena copias en caché del contenido de un sitio web, reduciendo la latencia para los usuarios y absorbiendo parte del tráfico ante picos de demanda o ataques de denegación de servicio.
• Certificado autofirmado — Un certificado autofirmado es un certificado digital firmado por la misma entidad que lo emite en lugar de por una autoridad de certificación (CA) reconocida, por lo que no es validado automáticamente por los navegadores y suele reservarse para entornos de prueba o comunicaciones internas.
• Certificado digital — Un certificado digital es un documento electrónico emitido por una autoridad de certificación (CA) que vincula una clave pública con la identidad de su titular, permitiendo verificar dicha identidad y establecer comunicaciones cifradas.
• CIAM (Gestión de Identidad y Acceso de Clientes) — CIAM (Customer Identity and Access Management) es la disciplina y el conjunto de herramientas dedicadas a gestionar el registro, la autenticación, el consentimiento y el acceso de los clientes externos de una organización, a diferencia de la gestión de identidades orientada a empleados internos.
• Cifrado asimétrico — El cifrado asimétrico, o criptografía de clave pública, utiliza un par de claves matemáticamente relacionadas, una pública y otra privada, de forma que lo cifrado con una solo puede descifrarse con la otra, eliminando la necesidad de compartir una clave secreta entre las partes.
• Cifrado de extremo a extremo (E2EE) — El cifrado de extremo a extremo (E2EE) garantiza que solo el emisor y el receptor de una comunicación pueden leer su contenido, ya que los datos se cifran en el dispositivo de origen y se descifran únicamente en el de destino, sin que intermediarios como el proveedor del servicio tengan acceso a ellos.
• Cifrado en reposo y en tránsito — El cifrado en reposo protege los datos almacenados en discos, bases de datos o backups, mientras que el cifrado en tránsito protege los datos mientras se transmiten por la red (por ejemplo, mediante TLS), siendo ambos necesarios para una protección integral de la información.
• Cifrado homomórfico — El cifrado homomórfico es una técnica criptográfica que permite realizar operaciones matemáticas directamente sobre datos cifrados, obteniendo un resultado que, al descifrarse, coincide con el que se obtendría operando sobre los datos originales sin cifrar.
• Cifrado simétrico — El cifrado simétrico es un método criptográfico en el que se utiliza la misma clave tanto para cifrar como para descifrar la información, lo que lo hace más rápido que el cifrado asimétrico pero exige un mecanismo seguro para compartir esa clave entre las partes.
• CIS Benchmark — Los CIS Benchmarks son guías de configuración segura publicadas por el Center for Internet Security para sistemas operativos, aplicaciones y servicios en la nube, con recomendaciones concretas y verificables. Se usan ampliamente como referencia para construir líneas base de seguridad y para herramientas automatizadas de cumplimiento.
• CIS Controls — Los CIS Controls son un conjunto priorizado de salvaguardas técnicas y organizativas, desarrollado por el Center for Internet Security, diseñado para ayudar a las organizaciones a reducir su superficie de ataque frente a las amenazas más comunes.
• CISO (Director de Seguridad de la Información) — El CISO (Chief Information Security Officer) es el responsable ejecutivo de la estrategia de ciberseguridad de una organización, encargado de definir políticas, gestionar el riesgo y coordinar la respuesta ante incidentes junto con la dirección.
• Cláusulas Contractuales Tipo (SCC) — Las Cláusulas Contractuales Tipo (SCC) son modelos de contrato aprobados por la Comisión Europea que ofrecen garantías adecuadas para transferir datos personales fuera del Espacio Económico Europeo cumpliendo con el RGPD.
• Clave de API expuesta — Una clave de API expuesta es una credencial de autenticación de un servicio que queda accesible de forma no intencionada, por ejemplo en un repositorio de código público, una app móvil descompilada o el código fuente de una web. Su descubrimiento permite a terceros consumir el servicio en nombre de la organización o acceder a los datos que protege.
• Clave privada (criptoactivos) — La clave privada es el dato criptográfico que demuestra la propiedad de una dirección en una blockchain y permite firmar transacciones — quien la posea controla los fondos de forma irrevocable, por lo que su exposición o robo equivale a la pérdida total y sin recurso de los activos asociados.
• Clickjacking — El clickjacking superpone una página invisible sobre una interfaz legítima para engañar al usuario y que haga clic en algo distinto de lo que ve, ejecutando así una acción no deseada (un "me gusta", un seguimiento, una transferencia) sin su consentimiento real.
• Cloud Misconfiguration — Una cloud misconfiguration es un error de configuración en un servicio cloud (un bucket S3 público, un puerto de gestión abierto, permisos IAM excesivos) que expone datos o accesos sin que exista una vulnerabilidad de software de por medio — la causa más común de brechas de datos en entornos cloud.
• CMMC (Certificación de Madurez de Ciberseguridad) — El CMMC (Cybersecurity Maturity Model Certification) es el marco de certificación del Departamento de Defensa de Estados Unidos que verifica, mediante niveles de madurez crecientes, que los contratistas de la cadena de suministro implementan de forma efectiva los controles de ciberseguridad exigidos, principalmente basados en NIST SP 800-171.
• CNAPP — CNAPP es una plataforma que unifica en una sola solución las capacidades de CSPM, CWPP y seguridad de aplicaciones (como SCA o escaneo de IaC) para dar visibilidad end-to-end de riesgos en entornos cloud-native, desde el código hasta el runtime.
• COBIT — COBIT (Control Objectives for Information and Related Technologies) es un marco de gobierno y gestión de TI desarrollado por ISACA que alinea los objetivos tecnológicos de una organización con sus objetivos de negocio y sus requisitos de control.
• Colisión de hash — Una colisión de hash se produce cuando dos entradas distintas generan el mismo valor de salida en una función hash, lo que puede comprometer la seguridad de sistemas que dependen de que cada entrada produzca un resultado único, como la verificación de integridad o las firmas digitales.
• Common Criteria (ISO/IEC 15408) — Common Criteria (ISO/IEC 15408) es un estándar internacional para la evaluación independiente de la seguridad de productos y sistemas TI, que asigna un Nivel de Garantía de Evaluación (EAL) según el rigor con el que se han verificado sus funciones de seguridad.
• Configuración incorrecta de CORS — Una configuración incorrecta de CORS ocurre cuando una aplicación web permite peticiones cross-origin de forma demasiado permisiva (por ejemplo, reflejando cualquier origen con credenciales habilitadas), lo que puede permitir a un sitio malicioso leer datos privados del usuario autenticado.
• Configuración por defecto insegura — Una configuración por defecto insegura es aquella que un sistema, servicio o dispositivo trae de fábrica sin los ajustes de seguridad necesarios, como credenciales predefinidas, puertos abiertos o cifrado deshabilitado. Si no se revisa y endurece antes de pasar a producción, ofrece a un atacante un vector de entrada inmediato.
• Consentimiento informado (RGPD) — El consentimiento informado, según el RGPD, es la manifestación libre, específica, informada e inequívoca por la que una persona acepta el tratamiento de sus datos personales para una finalidad concreta, debiendo ser tan fácil retirarlo como otorgarlo.
• Contenedor (Docker) — Un contenedor Docker es una unidad de software que empaqueta una aplicación junto con sus dependencias y librerías en un entorno aislado que comparte el kernel del sistema operativo anfitrión, lo que lo hace más ligero que una máquina virtual pero introduce su propia superficie de ataque (imágenes vulnerables, escapes, configuración del daemon).
• Control de acceso físico — El control de acceso físico comprende los mecanismos (tarjetas, biometría, cerraduras, personal de seguridad) que regulan quién puede entrar a una instalación o zona determinada de una organización.
• Control de acceso por tarjeta (RFID/NFC) — El control de acceso por tarjeta utiliza credenciales RFID o NFC para autorizar la entrada a instalaciones físicas, aunque puede ser vulnerable a la clonación o interceptación de la señal si no se implementan protocolos de cifrado adecuados.
• Copia de seguridad aislada (Air-Gapped Backup) — Una copia de seguridad aislada (air-gapped) es una copia de datos mantenida sin conexión de red, física o lógica, con el resto de la infraestructura. Esta desconexión impide que un atacante que compromete la red pueda alcanzar y cifrar o borrar también las copias de respaldo.
• CRA (Cyber Resilience Act) — El Cyber Resilience Act (Reglamento UE 2024/2847) exige a fabricantes de productos con elementos digitales integrar requisitos de ciberseguridad desde el diseño y notificar vulnerabilidades activamente explotadas a ENISA en un plazo de 24 horas.
• Credenciales embebidas en código — Las credenciales embebidas en código son usuarios, contraseñas, tokens o claves criptográficas escritos directamente en el código fuente en lugar de gestionarse mediante un almacén de secretos. Quedan expuestas a cualquiera con acceso al repositorio, incluido su historial de versiones, aunque se eliminen en un commit posterior.
• Credenciales por defecto en IoT — Las credenciales por defecto en IoT son los usuarios y contraseñas preconfigurados de fábrica en un dispositivo conectado, que muchos fabricantes no obligan a cambiar durante la instalación. Su uso extendido facilita el acceso masivo y automatizado de atacantes mediante escaneo de internet, y es una de las causas principales de las grandes botnets IoT.
• Credential Dumping (volcado de credenciales) — Credential Dumping es el proceso de extraer credenciales (contraseñas, hashes o tickets) almacenadas en memoria, en el registro o en bases de datos de un sistema comprometido, habitualmente como paso previo para el movimiento lateral dentro de la red.
• Credential Stuffing — El credential stuffing prueba automáticamente contra un servicio pares de usuario y contraseña filtrados en brechas de datos previas de otros servicios, aprovechando que muchos usuarios reutilizan la misma contraseña en varias plataformas.
• Criptografía de curva elíptica (ECC) — La criptografía de curva elíptica (ECC) es un tipo de criptografía asimétrica basada en las propiedades matemáticas de las curvas elípticas, que permite alcanzar niveles de seguridad equivalentes a RSA con claves de menor tamaño, reduciendo el coste computacional.
• Criptografía post-cuántica — La criptografía post-cuántica engloba los algoritmos criptográficos diseñados para resistir ataques ejecutados con ordenadores cuánticos, capaces en teoría de romper esquemas actuales como RSA o ECC mediante algoritmos como el de Shor.
• Crypter (ofuscador de malware) — Un crypter es una herramienta que cifra u ofusca el código de un malware para que su firma no coincida con la de muestras conocidas, con el objetivo de evadir la detección de antivirus y motores EDR. Se comercializa habitualmente en foros clandestinos como servicio para actores de amenazas.
• Cryptojacking — El cryptojacking es el uso no autorizado de los recursos de cómputo de la víctima (un servidor, un navegador, un contenedor cloud) para minar criptomonedas en beneficio del atacante, normalmente pasando desapercibido como una simple ralentización del sistema.
• CSPM (Gestión de Postura de Seguridad Cloud) — CSPM (Cloud Security Posture Management) es una categoría de herramientas que evalúa de forma continua la configuración de una cuenta cloud frente a buenas prácticas y marcos de cumplimiento, detectando desviaciones como permisos excesivos o recursos expuestos públicamente.
• CSRF (Cross-Site Request Forgery) — CSRF es un ataque que engaña a la sesión autenticada de la víctima para que su navegador ejecute, sin que se dé cuenta, una acción no deseada en una aplicación web (por ejemplo, cambiar su email o transferir dinero) simplemente visitando una página maliciosa.
• Cuenta de servicio (Service Account) — Una cuenta de servicio (Service Account) es una identidad no asociada a una persona, utilizada por aplicaciones, scripts o procesos automatizados para autenticarse y acceder a recursos, y que requiere controles específicos porque sus credenciales suelen ser difíciles de rotar y su compromiso puede pasar desapercibido.
• Cuenta huérfana (Orphaned Account) — Una cuenta huérfana (Orphaned Account) es una cuenta de usuario que permanece activa en un sistema después de que la persona a la que pertenecía haya dejado la organización o cambiado de función, representando un riesgo de seguridad porque nadie la supervisa ni la usa legítimamente.
• Custodia de criptoactivos (cold/hot wallet) — La custodia de criptoactivos define quién controla las claves privadas de una cartera: en custodia propia (cold wallet, almacenamiento offline) el usuario asume toda la responsabilidad de la clave, mientras que en custodia de terceros (hot wallet de un exchange) la seguridad de los fondos depende de los controles del proveedor.
• CVE — Un CVE (Common Vulnerabilities and Exposures) es un identificador único y público asignado a una vulnerabilidad conocida, que permite a fabricantes, investigadores y herramientas de seguridad referirse al mismo fallo de forma inequívoca.
• CVSS — CVSS (Common Vulnerability Scoring System) es el estándar de la industria para puntuar la severidad de una vulnerabilidad de 0 a 10, en función de factores como la complejidad del ataque, los privilegios necesarios y el impacto en confidencialidad, integridad y disponibilidad.
• CWE (Common Weakness Enumeration) — CWE es una taxonomía pública que clasifica los tipos genéricos de debilidad de software (por ejemplo, "neutralización incorrecta de input"), a diferencia de un CVE, que identifica una vulnerabilidad concreta en un producto específico.
• CWPP (Protección de Cargas de Trabajo Cloud) — CWPP (Cloud Workload Protection Platform) es una categoría de herramientas centrada en proteger cargas de trabajo individuales (máquinas virtuales, contenedores, funciones serverless) mediante detección de vulnerabilidades, monitorización de comportamiento en tiempo de ejecución y control de integridad.
• Cyber Essentials (Reino Unido) — Cyber Essentials es un esquema de certificación del gobierno británico que verifica la implementación de cinco controles técnicos básicos — firewalls, configuración segura, control de acceso, protección frente a malware y gestión de parches — para proteger a las organizaciones frente a los ciberataques más comunes.
• DAST (Análisis Dinámico de Seguridad) — DAST (Dynamic Application Security Testing) es el análisis de una aplicación en ejecución, enviando peticiones reales contra ella para detectar vulnerabilidades explotables desde fuera (inyecciones, fallos de autenticación, configuración expuesta) sin acceso al código fuente.
• Data Poisoning (Envenenamiento de datos) — El data poisoning consiste en introducir datos manipulados en el conjunto de entrenamiento o en las fuentes que alimentan a un modelo de IA (incluido el contenido recuperado en sistemas RAG), con el objetivo de sesgar su comportamiento o insertar una puerta trasera.
• DDoS (Distributed Denial of Service) — Un ataque DDoS satura los recursos o el ancho de banda de un servicio con tráfico proveniente de muchos sistemas distribuidos (a menudo una botnet) para dejarlo inaccesible a usuarios legítimos.
• Deception Technology (tecnología de engaño) — Deception technology es un enfoque defensivo que despliega señuelos, credenciales falsas y activos ficticios dentro de la red para atraer y detectar a un atacante que ya ha logrado acceso interno. Cualquier interacción con estos elementos es, por definición, ilegítima y genera una alerta de alta fiabilidad.
• Declaración de Aplicabilidad (SoA) — La Declaración de Aplicabilidad (SoA) es el documento exigido por ISO 27001 que detalla qué controles del Anexo A se aplican en la organización, cuáles se excluyen y la justificación de cada decisión.
• Defensa activa (Active Defense) — La defensa activa engloba medidas que van más allá de la protección pasiva de un sistema, como el uso de señuelos, la atribución de un ataque en curso o la interacción deliberada con el atacante para ralentizarlo y recopilar inteligencia. Debe diferenciarse claramente del hackeo de represalia (hack-back), que en la mayoría de jurisdicciones es ilegal.
• Defensa en profundidad (Defense in Depth) — La defensa en profundidad es la estrategia de superponer varias capas de controles de seguridad independientes (red, endpoint, identidad, aplicación, datos) para que el fallo de una sola capa no comprometa todo el sistema.
• Denegación de servicio a un LLM — Una denegación de servicio a un LLM es un ataque que busca agotar los recursos computacionales o la ventana de contexto de un modelo de lenguaje —mediante entradas extremadamente largas o repetitivas— para degradar su rendimiento, encarecer su coste operativo o dejarlo inutilizable.
• Dependencia de software obsoleta — Una dependencia de software obsoleta es una librería, framework o componente de terceros que sigue en uso pese a tener versiones más recientes que corrigen vulnerabilidades conocidas. Su explotación es habitual porque los fallos suelen estar documentados públicamente y disponen de exploits de prueba de concepto.
• Dependency Confusion — Dependency Confusion es una técnica de ataque a la cadena de suministro que aprovecha que un gestor de paquetes puede resolver una dependencia interna con el mismo nombre desde un registro público, haciendo que el build instale de forma inadvertida un paquete malicioso publicado por el atacante con mayor versión.
• Derecho a la portabilidad de datos — El derecho a la portabilidad de datos, reconocido por el RGPD, permite a una persona recibir sus datos personales en un formato estructurado y de uso común, o solicitar que se transmitan directamente a otro responsable del tratamiento.
• Derecho al olvido — El derecho al olvido es el derecho reconocido por el RGPD que permite a una persona solicitar la supresión de sus datos personales cuando ya no sean necesarios, se retire el consentimiento o el tratamiento sea ilícito.
• Desaprovisionamiento de cuentas — El desaprovisionamiento de cuentas es el proceso de revocar de forma sistemática los accesos y permisos de un usuario cuando deja la organización o cambia de rol, evitando que queden cuentas activas o privilegios innecesarios que puedan ser explotados.
• Desbordamiento de búfer (Buffer Overflow) — Un desbordamiento de búfer (Buffer Overflow) ocurre cuando un programa escribe más datos de los que caben en un área de memoria reservada, sobrescribiendo zonas adyacentes; un atacante puede aprovechar este fallo para corromper la ejecución del programa o inyectar y ejecutar código arbitrario.
• Desbordamiento de enteros (Integer Overflow) — Un desbordamiento de enteros (Integer Overflow) se produce cuando una operación aritmética genera un valor que excede el rango representable por el tipo de dato, provocando que el resultado se ajuste de forma inesperada; esto puede derivar en errores lógicos o vulnerabilidades explotables como desbordamientos de búfer.
• Deserialización insegura — La deserialización insegura ocurre cuando una aplicación reconstruye objetos a partir de datos no confiables sin validarlos, permitiendo a un atacante manipular ese flujo para ejecutar código arbitrario o alterar la lógica interna del programa.
• Destrucción segura de datos — La destrucción segura de datos consiste en eliminar de forma irreversible la información almacenada en dispositivos mediante técnicas como el borrado criptográfico, la desmagnetización o la destrucción física del soporte.
• Detection Engineering — Detection engineering es la disciplina que diseña, construye y mantiene de forma sistemática las reglas y lógicas de detección de un SOC, basándose en inteligencia de amenazas y en marcos como MITRE ATT&CK, en lugar de depender únicamente de las firmas que trae un producto de fábrica. Incluye probar y ajustar cada regla para reducir falsos positivos sin perder cobertura.
• DevSecOps — DevSecOps es el enfoque que integra controles de seguridad de forma automatizada en cada fase del ciclo de desarrollo de software (código, build, despliegue, operación), en lugar de tratarla como una revisión aislada al final del proceso.
• DHCP Spoofing — El DHCP Spoofing es un ataque en el que un actor despliega un servidor DHCP no autorizado en la red para responder antes que el legítimo a las peticiones de configuración de los clientes, pudiendo asignarles una puerta de enlace o un DNS maliciosos.
• Divulgación coordinada de vulnerabilidades (CVD) — La divulgación coordinada de vulnerabilidades es el proceso acordado entre investigador y fabricante para publicar los detalles técnicos de un fallo solo después de que exista un parche disponible, evitando exponer a los usuarios mientras el problema sigue sin corregir.
• Divulgación de información sensible por un LLM — La divulgación de información sensible por un LLM es la exposición no intencionada de datos confidenciales —credenciales, datos personales o información propietaria— presentes en los datos de entrenamiento, el contexto de la conversación o el sistema al que está conectado el modelo, a través de sus respuestas.
• DLL Hijacking — DLL Hijacking consiste en engañar a una aplicación para que cargue una librería dinámica (DLL) maliciosa en lugar de la legítima, aprovechando el orden de búsqueda de rutas del sistema, con el fin de ejecutar código arbitrario con los privilegios del proceso afectado.
• DLP (Data Loss Prevention) — Las políticas de DLP detectan y bloquean la salida no autorizada de datos sensibles de una organización — por correo, almacenamiento en la nube o integraciones de terceros — antes de que se produzca una fuga.
• DMARC, SPF y DKIM — SPF, DKIM y DMARC son los tres estándares que autentican el correo electrónico y evitan la suplantación del dominio de una empresa: SPF autoriza qué servidores pueden enviar en su nombre, DKIM firma criptográficamente los mensajes, y DMARC define qué hacer con los correos que fallan esas comprobaciones.
• DMZ (Zona Desmilitarizada) — Una DMZ (zona desmilitarizada) es un segmento de red aislado, situado entre la red interna y una red no confiable como Internet, donde se ubican los servicios que deben ser accesibles externamente (como servidores web o de correo) para limitar el impacto si son comprometidos.
• DNS — DNS (Domain Name System) es el sistema jerárquico y distribuido que traduce nombres de dominio legibles por humanos, como quantumsec.es, en direcciones IP que los equipos utilizan para localizarse en la red.
• DNS Spoofing / Cache Poisoning — El DNS spoofing envenena las respuestas de un servidor DNS para que resuelva un dominio legítimo hacia una dirección IP maliciosa controlada por el atacante, redirigiendo a las víctimas sin que cambien la URL que escriben.
• DNSSEC — DNSSEC (Domain Name System Security Extensions) es un conjunto de extensiones del protocolo DNS que añade firmas criptográficas a las respuestas, permitiendo verificar su autenticidad e integridad y evitando ataques de manipulación como el envenenamiento de caché DNS.
• Doble extorsión — La doble extorsión es una táctica de ransomware en la que, además de cifrar los archivos de la víctima, los atacantes exfiltran datos sensibles antes del cifrado y amenazan con publicarlos si no se paga el rescate. Esto presiona a la víctima incluso cuando dispone de copias de seguridad para restaurar los sistemas.
• DORA — DORA (Reglamento UE 2022/2554) exige a las entidades financieras europeas gestionar el riesgo TIC, notificar incidentes y, para las entidades designadas como críticas, ejecutar pruebas TLPT de resiliencia operativa cada 3 años.
• Doxing — El doxing consiste en investigar y publicar información privada de una persona, como su domicilio o número de teléfono, sin su consentimiento y con la intención de acosarla, intimidarla o exponerla públicamente.
• DPO (Delegado de Protección de Datos) — El DPO (Delegado de Protección de Datos) es la figura, obligatoria en determinados casos según el RGPD, encargada de supervisar el cumplimiento normativo en materia de protección de datos y actuar como punto de contacto con las autoridades de control.
• Drift de configuración (IaC Drift) — El drift de configuración (IaC Drift) ocurre cuando el estado real de la infraestructura en producción deja de coincidir con lo definido en el código de Infraestructura como Código, normalmente por cambios manuales aplicados fuera del pipeline, lo que introduce configuraciones no auditadas y potencialmente inseguras.
• Dropper — Un dropper es un componente de malware cuya única función es instalar o descargar la carga útil maliciosa real en el sistema comprometido, a menudo evadiendo controles de seguridad al presentarse como un fichero inofensivo. Una vez ejecutado, entrega el payload y puede eliminarse a sí mismo para dificultar el análisis forense.
• Dumpster Diving — El dumpster diving es la práctica de examinar la basura o el papel desechado de una organización en busca de información sensible, como documentos internos, credenciales o esquemas de red.
• EASM (Gestión de Superficie de Ataque Externa) — EASM es una disciplina y categoría de herramientas que descubre y monitoriza de forma continua los activos de una organización expuestos en internet, incluidos aquellos desconocidos por el propio equipo de TI, como subdominios olvidados o servicios en la nube mal configurados. Su propósito es mantener actualizado el inventario que un atacante vería desde el exterior.
• EDR (Endpoint Detection and Response) — Un EDR es una herramienta que monitoriza el comportamiento de los equipos (endpoints) en tiempo real para detectar actividad maliciosa que un antivirus tradicional, basado solo en firmas conocidas, no identificaría.
• Ejemplos adversarios — Los ejemplos adversarios son entradas deliberadamente modificadas —con perturbaciones a menudo imperceptibles para un humano— diseñadas para engañar a un modelo de machine learning y provocar una clasificación o predicción incorrecta.
• Ejercicio Assumed Breach — Un ejercicio Assumed Breach es una modalidad de pentesting o red team que parte de la premisa de que el atacante ya ha logrado un punto de acceso inicial dentro de la red, centrando el ejercicio en evaluar el movimiento lateral, la escalada de privilegios y la capacidad de detección posterior al compromiso.
• Ejercicio de simulación de crisis (Tabletop Exercise) — Un tabletop exercise es una simulación de incidente de seguridad realizada en formato de discusión, sin tocar sistemas reales, donde los equipos técnicos y de dirección ensayan sus roles y decisiones ante un escenario de ataque hipotético.
• Emulación de adversario — La emulación de adversario es una metodología de pentesting avanzado o red team en la que se reproducen las tácticas, técnicas y procedimientos (TTPs) de un actor de amenazas real y conocido —a menudo mapeados sobre el framework MITRE ATT&CK— para evaluar la capacidad de detección y respuesta de una organización.
• Encadenamiento de vulnerabilidades — El encadenamiento de vulnerabilidades consiste en combinar varios fallos de seguridad, cada uno de impacto limitado por separado, para lograr un compromiso completo del sistema. Es una técnica habitual en pentesting y en ataques reales, ya que muchas vulnerabilidades individuales se descartan erróneamente por su baja severidad aislada.
• Encargado del tratamiento (Data Processor) — El encargado del tratamiento es la persona física o jurídica que trata datos personales por cuenta del responsable del tratamiento, siguiendo sus instrucciones y bajo un contrato que fija las condiciones del tratamiento, según exige el RGPD.
• ENS (Esquema Nacional de Seguridad) — El ENS es el marco normativo español (Real Decreto 311/2022) que regula la seguridad de los sistemas de información de las administraciones públicas y sus proveedores, con tres niveles de exigencia: básico, medio y alto.
• Enumeración (fase de pentesting) — La enumeración es la fase de un pentesting en la que se extrae información detallada de los sistemas objetivo ya identificados —usuarios, servicios, recursos compartidos o versiones de software— para localizar puntos de entrada explotables en fases posteriores.
• Envenenamiento de caché web — El envenenamiento de caché web consiste en manipular las cabeceras o parámetros de una petición para que un servidor de caché almacene una respuesta maliciosa o alterada, que después se sirve a otros usuarios legítimos que soliciten el mismo recurso.
• Envenenamiento de herramientas MCP — El envenenamiento de herramientas MCP (Tool Poisoning) es un ataque en el que las instrucciones o metadatos de una herramienta expuesta a través del Model Context Protocol se manipulan para inducir al LLM a ejecutar acciones maliciosas u ocultar comportamiento no autorizado al usuario.
• Envenenamiento de repositorio de artefactos — El envenenamiento de repositorio de artefactos (Artifact Repository Poisoning) consiste en introducir versiones maliciosas de paquetes, imágenes o binarios en un repositorio interno (Nexus, Artifactory, registro de contenedores) que luego son consumidos de forma confiada por pipelines de build o despliegue.
• EPSS — EPSS (Exploit Prediction Scoring System) estima, con un porcentaje de 0 a 100%, la probabilidad de que una vulnerabilidad concreta sea explotada activamente en los próximos 30 días — complementa a CVSS, que mide severidad pero no probabilidad real de explotación.
• Escalada de privilegios — La escalada de privilegios es la técnica por la que un atacante, partiendo de un acceso limitado, obtiene permisos superiores (de usuario estándar a administrador, por ejemplo) explotando una configuración incorrecta o una vulnerabilidad del sistema.
• Escaneo de puertos (Port Scanning) — El escaneo de puertos (port scanning) es una técnica que consiste en enviar peticiones a un rango de puertos de un sistema para determinar cuáles están abiertos, cerrados o filtrados, y qué servicios están escuchando en ellos, usada tanto en fases de reconocimiento ofensivo como en auditorías defensivas.
• Escape de contenedor (Container Escape) — Un escape de contenedor (Container Escape) es una técnica de explotación que permite a un atacante salir del entorno aislado de un contenedor y obtener acceso al sistema operativo anfitrión, comprometiendo potencialmente el resto de contenedores que se ejecutan en el mismo host.
• Especialista en respuesta a incidentes — Un especialista en respuesta a incidentes investiga, contiene y remedia brechas de seguridad activas, coordinando la recuperación de sistemas y la recopilación de evidencias forenses.
• Esquema Nacional de Interoperabilidad (ENI) — El Esquema Nacional de Interoperabilidad (ENI) es la normativa española que establece los criterios y recomendaciones para garantizar el intercambio seguro y eficaz de información entre las administraciones públicas, complementando al Esquema Nacional de Seguridad (ENS) en el ámbito de la interoperabilidad.
• Esteganografía — La esteganografía es la técnica de ocultar información dentro de otro archivo o mensaje aparentemente inocuo, como una imagen o un audio, de forma que su existencia pase desapercibida, a diferencia del cifrado, que protege el contenido pero no oculta que existe una comunicación.
• Estrategia de copias de seguridad 3-2-1 — La estrategia 3-2-1 es una regla práctica de copias de seguridad que recomienda mantener al menos tres copias de los datos, en dos tipos de soporte distintos, con al menos una copia almacenada fuera de las instalaciones principales. Su objetivo es garantizar la recuperación incluso ante escenarios como un incendio, un fallo de hardware o un ataque de ransomware que cifre las copias locales.
• Estrategia multi-cloud — Una estrategia multi-cloud consiste en distribuir cargas de trabajo entre varios proveedores cloud (AWS, Azure, GCP) para evitar dependencia de un único proveedor, lo que desde el punto de vista de seguridad implica duplicar y homogeneizar controles de identidad, red y monitorización en cada plataforma.
• Etiquetado de ciberseguridad de producto — El etiquetado de ciberseguridad de producto es un sistema de certificación o marcado que informa al comprador del nivel de seguridad de un dispositivo conectado, por ejemplo si usa contraseñas por defecto o durante cuánto tiempo recibirá actualizaciones, de forma similar a una etiqueta energética. Su objetivo es dar visibilidad a consumidores y empresas sobre la postura de seguridad de los productos IoT antes de la compra.
• Evaluación de Impacto en Protección de Datos (DPIA) — La Evaluación de Impacto en Protección de Datos (DPIA) es un análisis exigido por el RGPD para tratamientos de datos que puedan suponer un alto riesgo para los derechos de las personas, identificando medidas para mitigar dicho riesgo.
• Evasión de sandbox — La evasión de sandbox es un conjunto de técnicas que emplea el malware para detectar si se está ejecutando en un entorno de análisis virtualizado o aislado, en lugar de en un equipo real, y en ese caso evitar mostrar comportamiento malicioso para no ser detectado. Incluye comprobaciones de hardware virtual, tiempos de ejecución o interacción del usuario.
• Evasión de WAF (WAF Bypass) — La evasión de WAF (WAF Bypass) engloba las técnicas usadas para eludir las reglas de un Web Application Firewall, como ofuscar payloads, dividir la carga entre varias peticiones o explotar diferencias de interpretación entre el WAF y la aplicación real.
• Exfiltración de datos — La exfiltración de datos es la transferencia no autorizada de información desde los sistemas de una organización hacia un destino externo controlado por el atacante, habitualmente la fase final de un ataque dirigido y un objetivo clave a detectar en un ejercicio de red team.
• Explotación manual vs. automatizada — La explotación manual frente a la automatizada distingue entre la verificación de vulnerabilidades realizada por un pentester experto, capaz de encadenar fallos y evitar falsos positivos, y el uso de herramientas automáticas que escalan la detección pero requieren validación humana para confirmar el impacto real.
• Exposición de datos sensibles — La exposición de datos sensibles ocurre cuando información confidencial, como credenciales, datos personales o financieros, queda accesible sin la protección adecuada, por ejemplo sin cifrar, en repositorios públicos o en respuestas de API mal controladas. Es una de las categorías de riesgo más citadas en estándares como OWASP Top 10.
• Falso positivo / Falso negativo — Un falso positivo es un hallazgo reportado como vulnerabilidad que en realidad no lo es; un falso negativo es una vulnerabilidad real que una herramienta o análisis no detecta — ambos son el motivo principal por el que el escaneo automatizado nunca sustituye a un pentesting manual.
• Fatiga de alertas (Alert Fatigue) — La fatiga de alertas es la desensibilización que sufre un equipo de seguridad cuando recibe un volumen de alertas tan alto, con una elevada proporción de falsos positivos, que termina ignorando o revisando superficialmente notificaciones que podrían ser legítimas. Es una de las causas habituales de que un incidente real pase desapercibido en un SOC.
• Federación de identidad — La federación de identidad es un modelo en el que varias organizaciones o sistemas confían en un mismo proveedor de identidad para autenticar usuarios, permitiendo que estos accedan a distintas aplicaciones con una única identidad sin necesidad de credenciales separadas para cada una.
• FedRAMP — FedRAMP (Federal Risk and Authorization Management Program) es el programa del gobierno de EE. UU. que estandariza la evaluación, autorización y monitorización continua de la seguridad de los servicios en la nube utilizados por agencias federales.
• FIPS 140-2 / 140-3 — FIPS 140-2 y su sucesor FIPS 140-3 son estándares del gobierno de Estados Unidos que especifican los requisitos de seguridad para módulos criptográficos hardware y software, exigidos habitualmente en contratación pública y en sectores regulados que manejan información sensible.
• Firewall (cortafuegos) — Un firewall es un sistema de seguridad, hardware o software, que controla el tráfico de red entrante y saliente aplicando reglas predefinidas, permitiendo o bloqueando conexiones según criterios como origen, destino, puerto o protocolo.
• Firewall de nueva generación (NGFW) — Un NGFW (Next-Generation Firewall) es un firewall que, además del filtrado tradicional por puertos y protocolos, incorpora inspección profunda de paquetes, identificación de aplicaciones, prevención de intrusiones y capacidades de análisis de tráfico cifrado.
• Firewall para LLM — Un firewall para LLM es una capa de seguridad situada entre el usuario o las aplicaciones y un modelo de lenguaje, que inspecciona y filtra en tiempo real las entradas y salidas para bloquear intentos de prompt injection, fuga de datos sensibles o respuestas fuera de política.
• Firma digital — Una firma digital es un mecanismo criptográfico basado en clave asimétrica que permite verificar la autenticidad de un mensaje o documento y confirmar que no ha sido modificado, además de proporcionar no repudio del origen por parte del firmante.
• Footprinting — El footprinting es la técnica de recopilación sistemática de información sobre una organización objetivo —dominios, direcciones IP, infraestructura, empleados o tecnologías empleadas— utilizada en las fases iniciales de un pentesting o de un ataque real para construir un perfil detallado.
• Formación en concienciación de seguridad — La formación en concienciación de seguridad es un programa continuo destinado a que los empleados de una organización reconozcan y reaccionen correctamente ante amenazas como el phishing, la ingeniería social o la manipulación de credenciales. Se considera un control complementario a las medidas técnicas, ya que el factor humano sigue siendo uno de los vectores de entrada más utilizados.
• Formjacking — Formjacking consiste en inyectar código malicioso en los formularios de pago de un sitio web legítimo (normalmente de comercio electrónico) para capturar en tiempo real los datos de tarjeta y datos personales que introducen los usuarios.
• Fraude con Deepfakes — El fraude con deepfakes consiste en usar audio o vídeo generado o manipulado mediante inteligencia artificial para suplantar la voz o la imagen de una persona real (por ejemplo, un directivo) y engañar a la víctima para que autorice un pago o revele información confidencial.
• Fraude con NFTs — El fraude con NFTs incluye técnicas como la venta de colecciones falsificadas que imitan proyectos legítimos, el wash trading para inflar artificialmente el precio de un activo, o el uso de metadatos y contratos maliciosos que otorgan al atacante control sobre el NFT o la wallet del comprador.
• Fraude por clonación de voz — El fraude por clonación de voz usa inteligencia artificial para replicar la voz de una persona real a partir de muestras de audio, empleándose en ataques de ingeniería social —como el fraude del CEO— para suplantar a directivos o familiares y engañar a la víctima por teléfono.
• Fuera de alcance (Out of Scope) — Un activo o tipo de vulnerabilidad fuera de alcance (out of scope) es aquel que un programa de bug bounty excluye explícitamente de las pruebas autorizadas, por lo que reportarlo no genera recompensa y puede incumplir las reglas del programa.
• Fuerza bruta y Password Spraying — La fuerza bruta prueba sistemáticamente muchas contraseñas contra una única cuenta, mientras que el password spraying invierte la lógica: prueba unas pocas contraseñas comunes contra muchas cuentas distintas para evitar el bloqueo por intentos fallidos.
• Fuga de datos de entrenamiento — La fuga de datos de entrenamiento es la exposición de información contenida en el conjunto de datos usado para entrenar un modelo de IA, que puede reproducirse literalmente o inferirse a partir de sus respuestas, comprometiendo la confidencialidad de datos personales o propietarios.
• Fuga de datos por asistentes de IA — La fuga de datos por asistentes de IA se produce cuando información corporativa confidencial se introduce en herramientas de IA generativa de terceros —a través de prompts, archivos adjuntos o integraciones— y queda expuesta fuera del control de la organización, ya sea por almacenamiento, reentrenamiento o brechas del proveedor.
• Función hash criptográfica — Una función hash criptográfica transforma una entrada de cualquier tamaño en una salida de longitud fija (huella o digest), de forma determinista e irreversible, utilizándose para verificar la integridad de datos y almacenar contraseñas de forma segura.
• Fuzzing — El fuzzing es una técnica de pruebas de seguridad que envía automáticamente grandes volúmenes de datos malformados, inesperados o aleatorios a una aplicación o sistema para provocar fallos, caídas o comportamientos anómalos que revelen vulnerabilidades explotables.
• Gestión de claves criptográficas — La gestión de claves criptográficas engloba los procesos de generación, distribución, almacenamiento, rotación y revocación de claves a lo largo de su ciclo de vida, siendo un factor crítico para la seguridad de cualquier sistema que dependa de cifrado.
• Gestión de parches (Patch Management) — La gestión de parches es el proceso continuo de identificar, priorizar, probar y desplegar las actualizaciones de seguridad publicadas por los fabricantes, antes de que una vulnerabilidad conocida sea explotada.
• Gestión de riesgo de terceros — La gestión de riesgo de terceros es el proceso de identificar, evaluar y mitigar los riesgos de seguridad y cumplimiento que introducen proveedores, contratistas y otros socios con acceso a los sistemas o datos de la organización.
• Gestión de secretos (Secrets Management) — La gestión de secretos (Secrets Management) es el conjunto de prácticas y herramientas (Vault, AWS Secrets Manager, KMS) para almacenar, rotar y distribuir de forma segura credenciales, claves API y certificados, evitando que aparezcan hardcodeados en código o ficheros de configuración.
• Gestión de sesiones — La gestión de sesiones abarca el conjunto de mecanismos que una aplicación usa para crear, mantener, renovar y finalizar de forma segura la sesión de un usuario autenticado, incluyendo la generación de identificadores impredecibles, la expiración por inactividad y la invalidación al cerrar sesión.
• Gestión de vulnerabilidades (Vulnerability Management) — La gestión de vulnerabilidades es el proceso continuo de descubrir, priorizar, remediar y verificar las debilidades de seguridad de una organización a lo largo del tiempo, a diferencia de un pentesting puntual, que es una foto fija de un momento concreto.
• Gestión del consentimiento de cookies — La gestión del consentimiento de cookies es el proceso técnico y legal mediante el cual un sitio web informa al usuario y obtiene su consentimiento antes de instalar cookies no esenciales, conforme al RGPD y la normativa de comunicaciones electrónicas.
• Golden Ticket (Kerberos) — Un Golden Ticket es un ataque contra Kerberos en Active Directory en el que el atacante, tras comprometer la cuenta krbtgt, falsifica tickets de concesión de tickets (TGT) para obtener acceso ilimitado y persistente a cualquier recurso del dominio suplantando a cualquier usuario.
• Guardrails de IA — Los guardrails de IA son controles técnicos —filtros de entrada y salida, políticas de contenido o validadores— que se aplican a un sistema de inteligencia artificial para restringir sus respuestas a comportamientos seguros y previstos, evitando usos indebidos o resultados dañinos.
• Guías CCN-STIC — Las Guías CCN-STIC son un conjunto de documentos técnicos publicados por el Centro Criptológico Nacional (CCN) español que desarrollan requisitos de seguridad, procedimientos y buenas prácticas para la administración pública y entidades vinculadas, sirviendo de referencia para la implementación del Esquema Nacional de Seguridad.
• Gusano informático (Worm) — Un gusano informático es un tipo de malware autorreplicante que se propaga de forma autónoma entre sistemas y redes explotando vulnerabilidades o servicios mal configurados, sin necesitar que el usuario ejecute ningún fichero. Su capacidad de propagación automática lo hace especialmente eficaz para infectar grandes volúmenes de equipos en poco tiempo.
• Hacker ético — Un hacker ético utiliza las mismas técnicas que un atacante malicioso, pero con autorización expresa del propietario del sistema, con el objetivo de detectar y corregir debilidades de seguridad.
• Hacktivista — Un hacktivista utiliza técnicas de hacking para promover una causa política, social o ideológica, atacando habitualmente sitios web o sistemas de organizaciones o gobiernos como forma de protesta.
• Hall of Fame (bug bounty) — El Hall of Fame es un listado público que reconoce a los investigadores que han reportado vulnerabilidades válidas en un programa de bug bounty, sin que ello implique necesariamente una recompensa económica.
• Hardening — El hardening es el conjunto de medidas de configuración que reducen la superficie de ataque de un sistema —deshabilitar servicios innecesarios, aplicar permisos mínimos, actualizar componentes— antes de que un atacante la explote.
• HIPAA — HIPAA (Health Insurance Portability and Accountability Act) es la ley federal estadounidense de 1996 que establece los estándares para proteger la información de salud de los pacientes, aplicable a proveedores sanitarios, aseguradoras y sus socios comerciales.
• HMAC — HMAC (Hash-based Message Authentication Code) es un mecanismo que combina una función hash con una clave secreta para generar un código que permite verificar tanto la integridad de un mensaje como la autenticidad de su origen.
• HMI (Interfaz Hombre-Máquina) — Una HMI (Interfaz Hombre-Máquina) es el panel o software mediante el cual un operador supervisa y controla un proceso industrial, mostrando datos de sensores y permitiendo el envío de órdenes a PLCs u otros equipos. Su compromiso permite a un atacante manipular directamente la visión y el control del operador sobre el proceso, lo que la convierte en un objetivo crítico en entornos ICS.
• Honeypot — Un honeypot es un sistema señuelo, deliberadamente expuesto y vigilado, que simula ser un activo real para atraer a un atacante, estudiar sus técnicas y generar alertas tempranas sin poner en riesgo la infraestructura de producción.
• Honeytoken — Un honeytoken es un dato o credencial señuelo, como un usuario de base de datos falso o un fichero con nombre atractivo, que se coloca en un sistema sin ningún uso legítimo previsto. Cualquier intento de acceso o uso de ese dato revela con alta fiabilidad la presencia de un atacante.
• Host Header Injection — Host Header Injection es un ataque en el que se manipula la cabecera Host de una petición HTTP para engañar a la aplicación en tareas como la generación de enlaces, el envenenamiento de caché o el bypass de controles de seguridad que confían ciegamente en ese valor.
• HSM (Módulo de Seguridad de Hardware) — Un HSM (Hardware Security Module) es un dispositivo físico dedicado a generar, almacenar y proteger claves criptográficas, así como a ejecutar operaciones de cifrado y firma dentro de un entorno aislado y resistente a manipulaciones.
• HTTP Request Smuggling — HTTP Request Smuggling explota las diferencias de interpretación de una misma petición HTTP entre un proxy o balanceador y el servidor backend, permitiendo a un atacante colar una segunda petición oculta que se procesa en el contexto de otra víctima.
• Huella digital (Fingerprinting) — La huella digital (fingerprinting) es una técnica de rastreo que identifica y sigue a un usuario combinando características de su dispositivo y navegador, como resolución de pantalla o fuentes instaladas, sin necesidad de instalar cookies.
• Human in the Loop — Human in the Loop es un principio de diseño de sistemas de IA que exige la supervisión o validación de una persona antes de ejecutar decisiones críticas o irreversibles generadas por el modelo, reduciendo el riesgo de errores, alucinaciones o acciones no deseadas.
• IA explicable (XAI) — La IA explicable (XAI) es el conjunto de técnicas y principios de diseño que permiten comprender e interpretar cómo un modelo de inteligencia artificial llega a una decisión concreta, algo clave para auditar sesgos, detectar comportamientos anómalos y cumplir requisitos regulatorios de transparencia.
• IAM (Identity and Access Management) — IAM es la disciplina y el conjunto de herramientas que gestionan quién es cada usuario, qué credenciales tiene y a qué recursos puede acceder dentro de una organización, siendo la base sobre la que se aplican el principio de mínimo privilegio y el resto de controles de acceso.
• IDOR (Insecure Direct Object Reference) — Un IDOR ocurre cuando una aplicación expone una referencia directa a un objeto interno (un ID de fichero, un número de pedido) sin verificar que el usuario tenga autorización para acceder a ese objeto concreto, permitiendo acceder a datos de otros usuarios cambiando el identificador en la petición.
• IDS/IPS — Un IDS (Intrusion Detection System) monitoriza el tráfico o la actividad de un sistema para detectar patrones maliciosos y generar alertas, mientras que un IPS (Intrusion Prevention System) añade la capacidad de bloquear activamente esas amenazas en tiempo real.
• IIoT (Internet Industrial de las Cosas) — El IIoT (Internet Industrial de las Cosas) hace referencia al uso de dispositivos conectados, sensores y análisis de datos en entornos industriales para optimizar procesos de producción, mantenimiento predictivo y monitorización remota. Su conectividad con redes IT y la nube introduce riesgos de seguridad que tradicionalmente no existían en sistemas OT aislados.
• Imagen de contenedor vulnerable — Una imagen de contenedor vulnerable es una imagen (Docker, OCI) que incluye paquetes del sistema operativo, librerías o dependencias con vulnerabilidades conocidas, heredadas normalmente de una imagen base desactualizada o de dependencias no revisadas antes del build.
• Imagen dorada (Golden Image) — Una imagen dorada (Golden Image) es una plantilla de máquina virtual o contenedor preconfigurada, endurecida y validada, que se usa como base estándar para desplegar nuevas instancias, garantizando una configuración de seguridad consistente en todo el entorno.
• Indicadores de riesgo y desempeño (KRI/KPI) — Los KRI (indicadores de riesgo) y KPI (indicadores de desempeño) de seguridad son métricas que permiten a una organización monitorizar su exposición al riesgo y la eficacia de sus controles, facilitando la toma de decisiones y el reporte a dirección.
• Información sensible en logs — La información sensible en logs es la práctica, generalmente no intencionada, de registrar contraseñas, tokens, datos personales o números de tarjeta en los ficheros de log de una aplicación. Dado que los logs suelen tener controles de acceso más laxos que la base de datos principal, esta información queda expuesta a un conjunto mayor de personas y sistemas.
• Informe de pentesting — El informe de pentesting es el documento entregable de una auditoría de intrusión que recoge las vulnerabilidades identificadas, su nivel de criticidad, la evidencia técnica de explotación y las recomendaciones de remediación, sirviendo como base para priorizar las correcciones y demostrar el cumplimiento ante clientes o auditores.
• Infostealer — Un infostealer es un tipo de malware especializado en robar credenciales, cookies de sesión, datos de tarjetas de crédito y otra información sensible almacenada en el navegador o en aplicaciones del sistema, enviándola a un servidor controlado por el atacante. Las credenciales robadas se venden habitualmente en mercados de la dark web.
• Infraestructura como Código (IaC) — Infraestructura como Código (IaC) es la práctica de definir y gestionar infraestructura (servidores, redes, políticas) mediante ficheros de configuración versionados (Terraform, CloudFormation, Pulumi) en lugar de configurarla manualmente — permite auditar, revisar y reproducir el entorno igual que el código de aplicación.
• Infraestructura inmutable — La infraestructura inmutable es un patrón en el que los servidores o contenedores nunca se modifican una vez desplegados — cualquier cambio implica construir y desplegar una nueva instancia desde cero — lo que reduce el drift de configuración y dificulta que un atacante persista tras un compromiso.
• Ingeniería inversa (Reverse Engineering) — La ingeniería inversa es el proceso de analizar un software, binario o dispositivo para comprender su funcionamiento interno sin acceso al código fuente original, utilizada en seguridad ofensiva para identificar vulnerabilidades, analizar malware o auditar la robustez de mecanismos de protección.
• Inversión de modelo (Model Inversion) — La inversión de modelo (Model Inversion) es una técnica de ataque que, a partir de las salidas de un modelo de IA, reconstruye aproximadamente los datos de entrada originales usados para entrenarlo o consultarlo, pudiendo revelar información sensible como imágenes o atributos personales.
• Inyección de comandos (Command Injection) — La inyección de comandos ocurre cuando una aplicación pasa input del usuario a una llamada del sistema operativo sin sanitizarlo, permitiendo a un atacante ejecutar comandos arbitrarios con los mismos privilegios que el proceso vulnerable.
• Inyección en pipeline de CI/CD — La inyección en pipeline de CI/CD es una técnica que aprovecha entradas no saneadas (nombres de rama, título de un pull request, variables de entorno) para ejecutar comandos arbitrarios en el contexto del runner de build, con acceso potencial a secretos y credenciales de despliegue.
• Inyección LDAP — La inyección LDAP consiste en manipular una consulta al directorio LDAP insertando caracteres o filtros no previstos a través de un campo de entrada no validado, con el fin de alterar la lógica de búsqueda o autenticación. Puede permitir eludir controles de acceso o extraer información del directorio corporativo.
• Inyección NoSQL — La inyección NoSQL es la manipulación de consultas dirigidas a bases de datos no relacionales, como MongoDB, mediante la inserción de operadores u objetos no esperados en parámetros de entrada. A diferencia de la inyección SQL clásica, a menudo explota la interpretación de estructuras JSON en lugar de cadenas de texto.
• IOC (Indicator of Compromise) — Un IOC es una evidencia forense de que un sistema puede estar comprometido —un hash de fichero malicioso, una IP de C2, una entrada de registro anómala— usada por los equipos de defensa para detectar y cazar intrusiones activas.
• ISO 22301 (continuidad de negocio) — ISO 22301 es la norma internacional certificable que especifica los requisitos para implementar, mantener y mejorar un sistema de gestión de continuidad de negocio, garantizando que una organización pueda seguir operando ante interrupciones graves.
• ISO 27001 — ISO 27001 es el estándar internacional de referencia para implantar un Sistema de Gestión de Seguridad de la Información (SGSI), certificable mediante auditoría externa.
• ISO 27002 — ISO 27002 es una norma internacional que proporciona directrices y buenas prácticas para implementar los controles de seguridad de la información definidos en el Anexo A de ISO 27001, sirviendo como guía de referencia para su aplicación práctica en una organización.
• ISO 27017 e ISO 27018 — ISO 27017 e ISO 27018 son normas complementarias a ISO 27001 centradas en la nube: la primera define controles de seguridad específicos para proveedores y clientes de servicios cloud, y la segunda establece directrices para la protección de datos personales (PII) en entornos de computación en la nube.
• ISO 27701 (gestión de privacidad) — ISO 27701 es una extensión de ISO 27001 que añade los requisitos para implementar un sistema de gestión de la información de privacidad (PIMS), ayudando a las organizaciones a demostrar el cumplimiento de normativas de protección de datos como el RGPD.
• ISO 31000 — ISO 31000 es la norma internacional que establece principios y directrices genéricas para la gestión del riesgo, aplicable a cualquier tipo de organización y sector, sin ser certificable como ISO 27001.
• ISO 42001 (gestión de IA) — ISO 42001 es la primera norma internacional certificable que define los requisitos para implementar un sistema de gestión de inteligencia artificial (AIMS), estableciendo controles sobre el ciclo de vida, los riesgos y el uso responsable de los sistemas de IA en una organización.
• Jailbreak de LLM — Un jailbreak de LLM es una técnica de prompt injection diseñada específicamente para saltarse los filtros de seguridad y contenido de un modelo de IA, consiguiendo que genere respuestas que sus creadores intentaron bloquear explícitamente.
• Jaula de Faraday — Una jaula de Faraday es un recinto metálico que bloquea las señales electromagnéticas externas, utilizado en seguridad para aislar dispositivos durante análisis forenses o para impedir fugas de señal en zonas sensibles.
• JWT (JSON Web Token) — Un JWT es un token compacto y firmado digitalmente que transporta de forma segura información sobre la identidad y los permisos de un usuario entre un cliente y un servidor, muy usado en autenticación de APIs — un JWT mal validado o firmado con un secreto débil es una vulnerabilidad crítica habitual.
• Kerberoasting — Kerberoasting es una técnica que aprovecha el protocolo Kerberos para solicitar tickets de servicio de cuentas con un Service Principal Name (SPN) asociado y someter después su hash a un ataque de fuerza bruta offline, con el objetivo de obtener la contraseña en texto claro de esas cuentas de servicio.
• KEV (Known Exploited Vulnerabilities) — El catálogo KEV, publicado por CISA, lista las vulnerabilidades que constan como explotadas activamente en el mundo real, un criterio de priorización de parcheo más urgente que la puntuación CVSS por sí sola.
• Keylogger — Un keylogger es un software o dispositivo que registra en secreto cada pulsación de teclado de la víctima, usado habitualmente para robar contraseñas, datos bancarios o conversaciones privadas.
• Kill Chain — La Kill Chain es un modelo que describe las fases secuenciales de un ciberataque —reconocimiento, armamento, entrega, explotación, instalación, C2 y acciones sobre el objetivo— usado para entender y romper el ataque en la fase más temprana posible.
• LFI / RFI (Local/Remote File Inclusion) — LFI y RFI son vulnerabilidades que permiten a un atacante forzar a una aplicación a incluir y ejecutar ficheros no previstos: locales del propio servidor (LFI) o alojados en un servidor externo (RFI), a menudo derivando en lectura de ficheros sensibles o ejecución remota de código.
• Línea base de seguridad — Una línea base de seguridad es el conjunto mínimo de configuraciones y controles que debe cumplir un sistema, aplicación o dispositivo antes de entrar en producción, definido de forma estandarizada para toda la organización. Sirve como referencia para detectar desviaciones y como criterio objetivo en auditorías.
• Living off the Land (LOLBins) — Living off the land describe la táctica de usar herramientas legítimas ya presentes en el sistema operativo (PowerShell, WMI, certutil) para llevar a cabo un ataque, en vez de introducir malware propio, dificultando enormemente su detección por firmas.
• Loader (malware) — Un loader es un tipo de malware similar al dropper, pero que en lugar de contener el payload lo descarga desde un servidor remoto en el momento de la ejecución, lo que permite al atacante cambiar la carga útil final sin modificar el fichero inicial. Es habitual como primera fase en cadenas de infección modulares.
• LOPDGDD — La LOPDGDD (Ley Orgánica 3/2018) es la norma española que desarrolla y complementa el RGPD, añadiendo garantías específicas como los derechos digitales de los trabajadores y adaptando el régimen sancionador al marco jurídico nacional.
• Malvertising — El malvertising consiste en insertar código malicioso en anuncios publicitarios legítimos distribuidos a través de redes de publicidad, de forma que el usuario se infecta o es redirigido a un sitio malicioso simplemente al visualizar o interactuar con el anuncio en una web de confianza. No requiere que el sitio web esté comprometido.
• Malware en macros de Office — El malware en macros de Office es código malicioso incrustado en las macros de documentos como Word o Excel, que se ejecuta cuando la víctima habilita el contenido activo del fichero, habitualmente tras ser engañada mediante un correo de phishing. Es una técnica clásica de entrega inicial de malware pese a las restricciones progresivas de Microsoft sobre macros.
• Malware para Android — El malware para Android es software malicioso diseñado específicamente para dispositivos con este sistema operativo, distribuido habitualmente mediante aplicaciones falsas, tiendas de terceros o enlaces de phishing, y usado para robar credenciales bancarias, interceptar SMS de verificación o tomar control del dispositivo. Google Play Protect y los permisos de accesibilidad son objetivos habituales de evasión.
• Malware polimórfico — El malware polimórfico es un tipo de malware que modifica su propio código o su cifrado en cada infección, manteniendo la misma funcionalidad pero cambiando su firma, lo que dificulta su detección por parte de los antivirus basados en firmas. Requiere análisis heurístico o de comportamiento para su identificación eficaz.
• Malware sin fichero (Fileless Malware) — El malware sin fichero (fileless malware) es aquel que se ejecuta directamente en memoria o abusa de herramientas legítimas del sistema, como PowerShell o WMI, sin escribir un archivo malicioso en disco, lo que dificulta su detección por soluciones antivirus tradicionales basadas en el análisis de ficheros. Suele detectarse mediante EDR y monitorización de comportamiento.
• Man-in-the-Middle (MITM) — Un ataque Man-in-the-Middle intercepta la comunicación entre dos partes que creen estar hablando directamente entre sí, permitiendo al atacante leer, modificar o inyectar tráfico sin que ninguna de las dos lo note.
• Manejo inadecuado de errores — El manejo inadecuado de errores se produce cuando una aplicación devuelve mensajes de error demasiado detallados, como trazas de pila, consultas SQL o rutas del sistema, en lugar de respuestas genéricas al usuario. Esa información ayuda a un atacante a entender la arquitectura interna y a preparar ataques más precisos.
• Manejo inseguro de salidas de LLM — El manejo inseguro de salidas de LLM ocurre cuando la respuesta de un modelo de lenguaje se pasa directamente a otro sistema —un navegador, un intérprete de código o una base de datos— sin validarla ni sanearla, lo que puede derivar en ejecución de código, XSS o inyección SQL.
• Marca de agua en contenido de IA — La marca de agua en contenido de IA (AI Watermarking) es una técnica que incrusta una señal identificable, normalmente imperceptible, en texto, imágenes, audio o vídeo generados por inteligencia artificial, con el objetivo de permitir su detección posterior y combatir la desinformación o el fraude.
• Mass Assignment — Mass Assignment es una vulnerabilidad que se produce cuando una aplicación asigna automáticamente los parámetros recibidos en una petición a los campos de un objeto o modelo interno, permitiendo a un atacante modificar campos que no debería controlar (por ejemplo, el rol de su propio usuario).
• Matriz de riesgo — La matriz de riesgo es una herramienta que representa visualmente los riesgos de una organización cruzando su probabilidad de ocurrencia con el impacto potencial, permitiendo priorizar qué amenazas requieren tratamiento inmediato.
• Matriz RACI en seguridad — La matriz RACI en seguridad asigna a cada tarea o control quién es Responsable, quién rinde cuentas (Accountable), a quién se Consulta y a quién se Informa, evitando ambigüedades en la gobernanza de la ciberseguridad.
• MDR (Detección y Respuesta Gestionada) — MDR es un servicio en el que un proveedor externo opera de forma continua las capacidades de detección y respuesta a incidentes de una organización, combinando tecnología con analistas humanos que investigan y contienen las alertas. Suele elegirse cuando la empresa no dispone de un SOC propio con cobertura 24/7.
• Metodología OSSTMM — OSSTMM (Open Source Security Testing Methodology Manual) es una metodología abierta de auditoría de seguridad que define un enfoque científico y medible para evaluar la seguridad operacional de sistemas, redes, personas y procesos físicos.
• Mezclador de criptomonedas (Mixer) — Un mezclador de criptomonedas (Mixer) es un servicio que combina fondos de múltiples usuarios y los redistribuye para dificultar el rastreo del origen de una transacción en la blockchain, usado tanto por motivos legítimos de privacidad como para blanquear fondos procedentes de actividades ilícitas.
• MFA / 2FA — La autenticación multifactor (MFA) o de dos factores (2FA) exige, además de la contraseña, un segundo elemento de verificación (una app, una llave de seguridad, un código temporal) para iniciar sesión, reduciendo drásticamente el impacto de una contraseña robada o filtrada.
• MFA Fatigue (bombardeo de notificaciones push) — MFA Fatigue (o Push Bombing) es una técnica en la que el atacante, tras obtener la contraseña de la víctima, envía repetidamente notificaciones push de autenticación multifactor con la esperanza de que la víctima acabe aprobando una por error o cansancio, otorgando así acceso a la cuenta.
• Microsegmentación — La microsegmentación divide la red interna en zonas aisladas y de tamaño reducido, aplicando políticas de acceso específicas entre cargas de trabajo individuales en lugar de confiar en un perímetro único. Su objetivo es limitar el movimiento lateral de un atacante que logre comprometer un sistema.
• Minimización de datos — La minimización de datos es el principio del RGPD por el que una organización solo debe recopilar y conservar los datos personales estrictamente necesarios para la finalidad del tratamiento, evitando recabar información adicional sin justificación.
• MITRE ATT&CK — MITRE ATT&CK es una base de conocimiento pública que cataloga las tácticas, técnicas y procedimientos (TTPs) reales usados por atacantes, ampliamente usada como referencia común para diseñar ejercicios de Red Team y reglas de detección.
• Model Extraction (Robo de modelo) — El model extraction es la técnica por la que un atacante reconstruye o clona un modelo de IA propietario observando únicamente sus respuestas a través de la API pública, sin acceso directo a sus pesos ni a su arquitectura interna.
• Modelado de amenazas (Threat Modeling) — El threat modeling es un proceso estructurado para identificar, antes o durante el desarrollo de un sistema, los activos a proteger, los posibles atacantes y las vías por las que podrían comprometer el sistema. Permite priorizar controles de seguridad en las fases de diseño, cuando corregirlos resulta más barato.
• Modelo de responsabilidad compartida — El modelo de responsabilidad compartida define qué aspectos de la seguridad corresponden al proveedor cloud (seguridad física, del hipervisor, de la infraestructura) y cuáles corresponden al cliente (configuración de accesos, cifrado de datos, gestión de identidades) — la mayoría de brechas cloud ocurren en la parte que corresponde al cliente.
• Modelo fundacional (Foundation Model) — Un modelo fundacional (Foundation Model) es un modelo de inteligencia artificial de gran escala, entrenado con grandes volúmenes de datos genéricos, que sirve como base para adaptarse mediante fine-tuning o prompting a múltiples tareas y aplicaciones posteriores.
• Modelo OSI — El modelo OSI (Open Systems Interconnection) es un modelo de referencia que divide la comunicación en red en siete capas (física, enlace, red, transporte, sesión, presentación y aplicación), cada una con funciones específicas, usado para diseñar protocolos y diagnosticar problemas de conectividad.
• Modelo Purdue — El modelo Purdue es un marco de referencia que organiza en niveles jerárquicos los sistemas de una planta industrial, separando la red corporativa (IT) de los sistemas de control (OT) mediante zonas intermedias y controles de segmentación. Se utiliza como guía de arquitectura para limitar el movimiento lateral entre redes IT y OT en entornos industriales.
• Modo de depuración activo en producción — El modo de depuración activo en producción se da cuando una aplicación conserva en su entorno productivo las funciones de diagnóstico pensadas para desarrollo, como trazas de error detalladas, consolas interactivas o endpoints de prueba. Puede revelar rutas internas, versiones de software y, en algunos frameworks, permitir ejecución de código.
• Movimiento lateral — El movimiento lateral es la fase de un ataque en la que, tras comprometer un primer sistema, el atacante se desplaza hacia otros sistemas de la red interna en busca de privilegios más altos o del objetivo final del ataque.
• MTTD y MTTR — MTTD (tiempo medio de detección) y MTTR (tiempo medio de respuesta) son métricas que miden, respectivamente, cuánto tarda una organización en detectar un incidente de seguridad desde que ocurre y cuánto tarda en contenerlo y resolverlo una vez detectado. Se utilizan para evaluar la madurez de las capacidades de detección y respuesta a lo largo del tiempo.
• NAC (Control de Acceso a la Red) — NAC (Network Access Control) es un conjunto de tecnologías que verifica la identidad y el estado de seguridad (parcheado, antivirus, configuración) de un dispositivo antes de permitirle conectarse a la red, aplicando políticas de acceso según el resultado.
• NAT (Traducción de Direcciones de Red) — NAT (Network Address Translation) es una técnica que traduce direcciones IP privadas a una o varias direcciones IP públicas al atravesar un router o firewall, permitiendo que múltiples dispositivos compartan una misma dirección pública para salir a Internet.
• NDR (Detección y Respuesta de Red) — NDR es una categoría de soluciones que analiza el tráfico de red, incluido el cifrado mediante metadatos, para detectar comportamientos maliciosos y coordinar una respuesta automática o guiada. Aporta visibilidad sobre segmentos de red donde no siempre hay agentes de endpoint instalados.
• NIS2 — NIS2 (Directiva UE 2022/2555) es la normativa europea que obliga a entidades esenciales e importantes de 18 sectores a implementar medidas de gestión de riesgos, notificar incidentes y garantizar la continuidad de sus servicios, con sanciones de hasta 10M€ o el 2% de la facturación global.
• NIST AI Risk Management Framework — El NIST AI Risk Management Framework es una guía voluntaria del NIST estadounidense que ayuda a las organizaciones a identificar, medir y gestionar los riesgos asociados al diseño, desarrollo y despliegue de sistemas de inteligencia artificial, estructurada en las funciones Gobernar, Mapear, Medir y Gestionar.
• NIST Cybersecurity Framework (CSF) — El NIST Cybersecurity Framework (CSF) es un marco voluntario del instituto estadounidense NIST que organiza la gestión del riesgo de ciberseguridad en torno a las funciones de identificar, proteger, detectar, responder y recuperar.
• NIST SP 800-115 — NIST SP 800-115 es una guía técnica publicada por el NIST estadounidense que establece los principios y fases recomendados para planificar y ejecutar pruebas de seguridad y evaluaciones técnicas, incluyendo el pentesting, en sistemas de información.
• NIST SP 800-171 — NIST SP 800-171 define los requisitos para proteger la información no clasificada controlada (CUI) cuando reside en sistemas de contratistas y proveedores externos a organismos federales estadounidenses, siendo la base técnica exigida en contratos de defensa y cadena de suministro.
• NIST SP 800-53 — NIST SP 800-53 es un catálogo de controles de seguridad y privacidad publicado por el NIST estadounidense para sistemas de información federales, ampliamente adoptado también por organizaciones privadas como base para diseñar y evaluar programas de ciberseguridad.
• Niveles de recompensa (Bounty Tiers) — Los bounty tiers son los rangos de pago que un programa de bug bounty establece en función de la severidad de la vulnerabilidad reportada, desde hallazgos de baja criticidad hasta fallos críticos.
• OAuth 2.0 — OAuth 2.0 es el estándar abierto que permite a una aplicación acceder a recursos de un usuario en otro servicio (por ejemplo, leer su calendario) sin que ese usuario tenga que compartir su contraseña, mediante tokens de acceso con permisos y duración limitados.
• Open Redirect — Open Redirect es una vulnerabilidad en la que una aplicación redirige al usuario a una URL controlada por un parámetro sin validarla, lo que un atacante puede aprovechar para dirigir a la víctima a un sitio malicioso manteniendo la apariencia de un enlace legítimo del dominio original.
• OSINT (Open Source Intelligence) — OSINT es la disciplina de recopilar información de fuentes públicas y abiertas (redes sociales, registros públicos, filtraciones previas, metadatos) para construir un perfil de la superficie expuesta de una organización antes de un ataque o un ejercicio autorizado.
• OWASP ASVS — OWASP ASVS (Application Security Verification Standard) es un marco de referencia que define requisitos de seguridad, organizados en niveles de rigor crecientes, para verificar y desarrollar aplicaciones web robustas frente a vulnerabilidades.
• OWASP MASVS (seguridad móvil) — OWASP MASVS (Mobile Application Security Verification Standard) es el estándar de referencia que define los requisitos de seguridad para aplicaciones móviles iOS y Android, utilizado como base para auditorías y pentesting móvil junto a la guía de pruebas MASTG.
• OWASP Top 10 — El OWASP Top 10 es la lista de referencia mundial de los riesgos de seguridad más críticos en aplicaciones web, actualizada periódicamente por la Open Worldwide Application Security Project, y usada como base metodológica en la mayoría de pentestings web.
• OWASP Top 10 para LLMs — El OWASP Top 10 para LLMs es la lista de referencia de los riesgos de seguridad más críticos específicos de aplicaciones basadas en modelos de lenguaje —prompt injection, fugas de datos sensibles, envenenamiento del modelo— equivalente al OWASP Top 10 clásico pero adaptado a IA generativa.
• Packet Sniffing (Captura de Paquetes) — El packet sniffing es la técnica de capturar e inspeccionar el tráfico que circula por una red mediante herramientas especializadas, utilizada tanto para diagnosticar problemas de red como, de forma maliciosa, para interceptar información sensible que viaje sin cifrar.
• PAM (Privileged Access Management) — PAM es el subconjunto de IAM especializado en las cuentas con privilegios elevados (administradores, cuentas de servicio): controla, audita y limita en el tiempo su uso, porque son el objetivo prioritario de cualquier atacante que ya tenga un punto de apoyo en la red.
• Parcheo virtual (Virtual Patching) — El parcheo virtual consiste en desplegar una regla en un dispositivo de seguridad, como un WAF o un IPS, que bloquea la explotación de una vulnerabilidad conocida sin modificar el código o el sistema afectado. Se utiliza como medida temporal cuando aplicar el parche oficial del fabricante requiere tiempo o pruebas adicionales.
• Pass-the-Hash — Pass-the-hash es una técnica de movimiento lateral en Windows/Active Directory donde el atacante reutiliza el hash de una contraseña robada de la memoria para autenticarse en otros sistemas, sin necesitar nunca la contraseña en texto claro.
• Passkeys / FIDO2 — Las passkeys son credenciales basadas en el estándar FIDO2/WebAuthn que sustituyen la contraseña por un par de claves criptográficas: la privada nunca sale del dispositivo del usuario, lo que las hace inmunes al phishing de credenciales y al credential stuffing.
• Path Traversal — Path Traversal es una vulnerabilidad que permite a un atacante manipular referencias a rutas de archivo (por ejemplo, usando secuencias "../") para acceder a ficheros o directorios fuera de la carpeta prevista por la aplicación, exponiendo código fuente, configuración o datos sensibles.
• PCI DSS — PCI DSS es el estándar de seguridad obligatorio para cualquier organización que almacene, procese o transmita datos de tarjetas de pago, exigido por las propias marcas de tarjeta (Visa, Mastercard) independientemente del tamaño de la empresa.
• Pentester — Un pentester es un profesional que simula ataques controlados contra sistemas, aplicaciones o redes para identificar vulnerabilidades explotables antes de que lo hagan atacantes reales.
• Pentesting — Un pentesting (penetration testing, prueba de penetración) es un ataque informático simulado y autorizado contra los sistemas de una organización, ejecutado por un experto que intenta explotar activamente las vulnerabilidades encontradas para demostrar su impacto real, no solo detectarlas.
• Pentesting continuo (PTaaS) — El pentesting continuo o PTaaS (Pentesting as a Service) es un modelo de servicio que combina pruebas de intrusión recurrentes con una plataforma de seguimiento en tiempo real, permitiendo detectar y remediar vulnerabilidades de forma continua en lugar de mediante auditorías puntuales anuales.
• Perfect Forward Secrecy (PFS) — Perfect Forward Secrecy (PFS) es una propiedad de ciertos protocolos criptográficos que genera claves de sesión únicas y temporales para cada comunicación, de forma que el compromiso de una clave privada a largo plazo no permite descifrar comunicaciones pasadas.
• Persistencia (Persistence) — La persistencia es la técnica utilizada por un atacante para mantener el acceso a un sistema comprometido a lo largo del tiempo, sobreviviendo a reinicios, cambios de credenciales o intentos de remediación, habitualmente mediante tareas programadas, servicios o cuentas ocultas.
• Phishing — El phishing es un ataque de ingeniería social que suplanta la identidad de una entidad legítima (un banco, un proveedor, un compañero) por correo electrónico para engañar a la víctima y que revele credenciales, datos o ejecute una acción fraudulenta.
• PII (Información de Identificación Personal) — PII (Información de Identificación Personal) es cualquier dato que permita identificar directa o indirectamente a una persona física, como su nombre, DNI, dirección de correo electrónico o número de teléfono.
• Pila TCP/IP — La pila TCP/IP es el conjunto de protocolos que rige la comunicación en Internet, organizado en cuatro capas (acceso a red, Internet, transporte y aplicación), donde TCP garantiza la entrega fiable de datos e IP se encarga del direccionamiento y enrutamiento de los paquetes.
• Pivoting — El pivoting es la técnica que permite a un atacante o pentester usar un sistema ya comprometido como punto de salto para acceder a otras redes o segmentos que no serían alcanzables directamente desde su posición original.
• PKI (Infraestructura de Clave Pública) — Una PKI (Public Key Infrastructure) es el conjunto de políticas, roles y sistemas necesarios para crear, gestionar, distribuir y revocar certificados digitales, sirviendo de base para la autenticación y el cifrado mediante criptografía asimétrica.
• Plan de continuidad de negocio (BCP/DR) — El plan de continuidad de negocio (BCP) y el de recuperación ante desastres (DR) definen cómo una organización mantiene sus operaciones críticas y restaura sus sistemas tras un incidente grave —un ciberataque, un fallo de infraestructura— minimizando el tiempo de inactividad.
• Plataforma de bug bounty — Una plataforma de bug bounty es un servicio intermediario que gestiona programas de recompensas por vulnerabilidades, encargándose de la validación de reportes, la comunicación con investigadores y la tramitación de pagos.
• Playbook de respuesta a incidentes — Un playbook de respuesta a incidentes es un documento operativo que define, paso a paso, las acciones a seguir ante un tipo concreto de incidente de seguridad, como un ransomware o una fuga de datos, incluyendo roles, criterios de escalado y comunicaciones. Su objetivo es reducir el tiempo de reacción y evitar decisiones improvisadas bajo presión.
• Plazo de divulgación responsable — El plazo de divulgación responsable es el periodo acordado entre el investigador y la empresa afectada para corregir una vulnerabilidad antes de que los detalles técnicos se hagan públicos.
• PLC (Controlador Lógico Programable) — Un PLC (Controlador Lógico Programable) es un dispositivo industrial que ejecuta lógica de control para automatizar procesos físicos, como abrir válvulas o activar motores, en función de las señales que recibe de sensores. Su compromiso permite a un atacante manipular directamente procesos físicos, con riesgo de daños materiales o de seguridad física.
• PoC (Proof of Concept) — Un PoC es la evidencia técnica —un script, una captura, una petición reproducible— que demuestra que una vulnerabilidad reportada es explotable de verdad, distinguiendo un hallazgo real de un falso positivo.
• Política de seguridad de la información — La política de seguridad de la información es el documento de alto nivel que establece los principios, objetivos y responsabilidades de una organización en materia de protección de la información, sirviendo de marco para las normas y procedimientos técnicos.
• Post-explotación — La post-explotación es la fase de un pentesting posterior a la obtención de acceso inicial a un sistema, en la que se evalúa el impacto real del compromiso mediante técnicas como la escalada de privilegios, el movimiento lateral o la extracción de datos sensibles.
• Pretexting — Pretexting es una técnica de ingeniería social en la que el atacante construye una historia o identidad falsa creíble (por ejemplo, hacerse pasar por soporte técnico o un proveedor) para ganarse la confianza de la víctima y conseguir que revele información o realice una acción.
• Principio de mínimo privilegio (Least Privilege) — El principio de mínimo privilegio establece que cada usuario, servicio o proceso debe tener únicamente los permisos estrictamente necesarios para su función, nunca más — reduciendo drásticamente el daño potencial si esa cuenta o sistema se ve comprometido.
• Privacidad desde el diseño (Privacy by Design) — La privacidad desde el diseño (Privacy by Design) es el principio del RGPD que exige incorporar medidas de protección de datos desde las primeras fases de diseño de un sistema o servicio, en lugar de añadirlas a posteriori.
• Privacidad diferencial (Differential Privacy) — La privacidad diferencial es una técnica matemática que añade ruido controlado a los resultados de un análisis de datos para impedir que se pueda inferir información sobre un individuo concreto sin afectar significativamente a la utilidad estadística del conjunto.
• Programa de bug bounty privado vs. público — Un programa de bug bounty privado invita solo a un grupo seleccionado de investigadores, mientras que un programa público está abierto a cualquier investigador, lo que amplía la cobertura pero también incrementa el volumen de reportes a gestionar.
• Prompt Injection — Un prompt injection es una entrada diseñada para manipular las instrucciones de un modelo de lenguaje (LLM) y hacer que ignore sus reglas originales, revele información confidencial del sistema o ejecute acciones no previstas por quien lo diseñó — la vulnerabilidad #1 del OWASP Top 10 para LLMs.
• Prompt Injection indirecta — La prompt injection indirecta es una variante del prompt injection en la que las instrucciones maliciosas no las escribe el usuario, sino que están ocultas en contenido externo que el LLM procesa —una página web, un documento o un correo—, manipulando así el comportamiento del modelo sin interacción directa del atacante.
• Protocolo DNP3 — DNP3 (Distributed Network Protocol) es un protocolo de comunicación utilizado principalmente en el sector eléctrico y de utilities para el intercambio de datos entre sistemas SCADA y dispositivos de campo. Sus versiones sin las extensiones de seguridad (Secure Authentication) carecen de autenticación robusta, lo que las expone a ataques de suplantación o inyección de comandos.
• Protocolo Modbus — Modbus es un protocolo de comunicación industrial, ampliamente utilizado en entornos SCADA y de automatización, que permite el intercambio de datos entre PLCs, sensores y sistemas de control. Al carecer de mecanismos nativos de autenticación o cifrado, es vulnerable a ataques de suplantación, manipulación de comandos o interceptación de tráfico si no se protege mediante segmentación de red adicional.
• Proveedor de identidad (IdP) — Un proveedor de identidad (IdP) es el sistema responsable de autenticar a los usuarios y emitir las aserciones o tokens que otras aplicaciones (proveedores de servicio) aceptan como prueba de identidad, siendo la pieza central de arquitecturas de inicio de sesión único.
• Proxy inverso — Un proxy inverso es un servidor intermediario que recibe las peticiones de los clientes y las redirige a uno o varios servidores backend, ocultando su existencia y añadiendo funciones como balanceo de carga, terminación TLS o caché.
• PSD2 (Directiva de Servicios de Pago) — PSD2 es la directiva europea que regula los servicios de pago electrónico, exigiendo entre otros requisitos la autenticación reforzada del cliente (SCA) y la apertura de las APIs bancarias a terceros proveedores autorizados en el marco del open banking.
• PTES (Penetration Testing Execution Standard) — PTES (Penetration Testing Execution Standard) es un estándar metodológico que define las fases que debe cubrir un pentesting profesional —desde la preparación y el reconocimiento hasta el reporte final—, sirviendo como referencia común entre proveedores y clientes de servicios de seguridad ofensiva.
• Puente cross-chain (Bridge) — Un puente cross-chain (Bridge) es un protocolo que permite transferir activos o datos entre dos blockchains distintas, habitualmente bloqueando el activo original en una cadena y emitiendo una versión equivalente en la otra — su complejidad y la custodia centralizada de fondos que a menudo implican los convierten en uno de los objetivos más atacados del ecosistema cripto.
• Puerto de depuración JTAG expuesto — Un puerto de depuración JTAG expuesto permite a un atacante con acceso físico a un dispositivo interactuar directamente con su hardware, extrayendo firmware, memoria o claves sin pasar por las protecciones del software.
• Purple Team — El Purple Teaming es una forma de trabajar colaborativa donde el equipo rojo y el equipo azul ejecutan y observan técnicas de ataque en tiempo real, ajustando las reglas de detección al momento, en vez de operar de forma encubierta y separada.
• Quid Pro Quo (ingeniería social) — Quid Pro Quo es un ataque de ingeniería social en el que el atacante ofrece algo a cambio (por ejemplo, ayuda técnica o un premio) para convencer a la víctima de que comparta credenciales, instale software o desactive controles de seguridad.
• Race Condition (TOCTOU) — Una race condition explota la ventana de tiempo entre que una aplicación comprueba una condición (time-of-check) y la usa (time-of-use) para colar una operación no autorizada en ese instante — por ejemplo, canjear un mismo cupón de descuento varias veces antes de que el sistema lo marque como usado.
• Rainbow Table — Una rainbow table es una estructura de datos precalculada que almacena cadenas de valores hash y sus contraseñas originales, permitiendo revertir un hash a su contraseña de forma mucho más rápida que probando combinaciones una a una, salvo que se use un salt.
• Ransomware — El ransomware es un tipo de malware que cifra los archivos de una organización y exige un pago (rescate) para restaurar el acceso, a menudo combinado con la amenaza de publicar los datos robados si no se paga (doble extorsión).
• Ransomware as a Service (RaaS) — Ransomware as a Service (RaaS) es un modelo de negocio criminal en el que un grupo desarrolla y mantiene una plataforma de ransomware que alquila o licencia a afiliados a cambio de un porcentaje del rescate obtenido. Este modelo reduce la barrera técnica para lanzar ataques de ransomware y ha impulsado su proliferación.
• RASP (Autoprotección de Aplicaciones en Ejecución) — RASP (Runtime Application Self-Protection) es una tecnología que se integra dentro de una aplicación en ejecución para detectar y bloquear ataques en tiempo real (inyecciones, deserialización insegura) analizando el comportamiento interno del propio proceso, a diferencia de un WAF que inspecciona el tráfico desde fuera.
• RAT (Troyano de Acceso Remoto) — Un RAT (Remote Access Trojan) es un tipo de malware que proporciona al atacante control remoto y encubierto sobre el equipo infectado, permitiéndole ejecutar comandos, exfiltrar archivos o activar la cámara y el micrófono. Suele instalarse mediante phishing o explotación de vulnerabilidades y persistir sin que la víctima lo detecte.
• Rate Limiting (limitación de peticiones) — El rate limiting es la técnica de limitar el número de peticiones que un cliente puede hacer a una API o servicio en un periodo de tiempo, usada como control de seguridad frente a ataques de fuerza bruta, scraping masivo o denegación de servicio a nivel de aplicación.
• RBAC (Role-Based Access Control) — RBAC asigna permisos a roles predefinidos (por ejemplo, "contable" o "administrador de sistemas") en lugar de a usuarios individuales, simplificando la gestión de accesos y reduciendo el riesgo de permisos acumulados u olvidados al cambiar de puesto.
• RCE (Remote Code Execution) — Una RCE es la vulnerabilidad más crítica posible: permite a un atacante ejecutar comandos o código arbitrario en un sistema remoto sin autorización, lo que normalmente se traduce en control total sobre el servidor afectado.
• Reconocimiento activo y pasivo — El reconocimiento activo y pasivo son las dos fases iniciales de un pentesting: el reconocimiento pasivo recopila información pública sobre el objetivo sin interactuar directamente con sus sistemas, mientras que el activo implica un contacto directo —como escaneos de puertos— que puede ser detectado por el objetivo.
• Red Team — Un Red Team es un ejercicio de simulación de adversario real y encubierto: el equipo ofensivo persigue un objetivo de negocio concreto combinando vectores técnicos, sociales y físicos, sin que el equipo defensivo sepa que está ocurriendo, para medir su capacidad real de detección y respuesta.
• Red Teamer — Un red teamer forma parte de un equipo que simula un adversario real y persistente, combinando técnicas ofensivas, físicas y de ingeniería social para evaluar la capacidad de detección y respuesta de una organización.
• Red Wi-Fi gemela maliciosa (Evil Twin) — Un evil twin es un punto de acceso Wi-Fi falso configurado por un atacante para imitar el nombre (SSID) de una red legítima, con el objetivo de engañar a los usuarios para que se conecten a él y así interceptar sus credenciales o su tráfico.
• ReDoS (Denegación de Servicio por Expresión Regular) — El ReDoS es un ataque de denegación de servicio que explota expresiones regulares mal diseñadas cuyo tiempo de evaluación crece de forma exponencial ante determinadas cadenas de entrada. Con una entrada relativamente corta y específica, un atacante puede agotar la CPU del servidor sin necesidad de gran volumen de tráfico.
• Registro de Actividades de Tratamiento (RAT) — El Registro de Actividades de Tratamiento (RAT) es el documento que el RGPD exige a responsables y encargados del tratamiento para inventariar qué datos personales tratan, con qué finalidad, base legal y medidas de seguridad aplicadas.
• Reglamento de Mercados Digitales (DMA) — El Reglamento de Mercados Digitales (DMA) es la normativa de la Unión Europea que impone obligaciones específicas a las grandes plataformas digitales calificadas como "guardianes de acceso" (gatekeepers), con el objetivo de garantizar mercados digitales más justos y contestables.
• Reglamento de Servicios Digitales (DSA) — El Reglamento de Servicios Digitales (DSA) es la normativa de la Unión Europea que regula las obligaciones de las plataformas y servicios digitales en materia de moderación de contenidos, transparencia algorítmica y protección de los usuarios frente a contenidos ilícitos.
• Reglamento eIDAS — El Reglamento eIDAS (UE 910/2014) establece el marco normativo europeo para la identificación electrónica y los servicios de confianza — como la firma electrónica, el sello de tiempo o el certificado de sitio web — garantizando su reconocimiento legal y validez transfronteriza en la Unión Europea.
• Reglamento MiCA (Mercados de Criptoactivos) — El Reglamento MiCA (Markets in Crypto-Assets) es la normativa de la Unión Europea que regula la emisión, prestación de servicios y supervisión de criptoactivos, estableciendo requisitos de seguridad, transparencia y protección al inversor aplicables a exchanges, emisores de stablecoins y demás proveedores de servicios sobre criptoactivos.
• Reglas de compromiso (Rules of Engagement) — Las reglas de compromiso (Rules of Engagement) son el documento acordado antes de un pentesting o red team que define el alcance autorizado, los sistemas y técnicas permitidas o excluidas, las ventanas horarias y los canales de comunicación de emergencia durante el ejercicio.
• Reglas Sigma (detección) — Las reglas Sigma son un formato abierto y estandarizado para describir lógicas de detección basadas en logs, independiente del SIEM concreto donde se vayan a ejecutar. Permiten a los equipos de seguridad compartir y reutilizar detecciones sin reescribirlas para cada plataforma.
• Reglas YARA (detección de malware) — Las reglas YARA son patrones definidos para identificar y clasificar muestras de malware a partir de cadenas de texto, secuencias binarias o características estructurales de un fichero. Se utilizan tanto en análisis forense como en herramientas de detección para localizar variantes de una misma familia de malware.
• Reputación de investigador (bug bounty) — La reputación de un investigador en bug bounty es una puntuación que las plataformas calculan a partir del historial de reportes válidos, su calidad y el cumplimiento de las normas del programa, influyendo en el acceso a programas privados.
• Responsable del tratamiento (Data Controller) — El responsable del tratamiento es la persona física o jurídica que determina los fines y medios del tratamiento de datos personales, asumiendo la responsabilidad principal de su cumplimiento conforme al RGPD.
• Respuesta a incidentes (Incident Response) — La respuesta a incidentes es el proceso estructurado —identificación, contención, erradicación, recuperación y lecciones aprendidas— que sigue una organización para gestionar un ciberataque en curso y minimizar su impacto.
• Retención y correlación de logs — La retención y correlación de logs consiste en conservar los registros de eventos de distintos sistemas durante un periodo definido y analizarlos de forma conjunta para reconstruir la secuencia completa de un incidente. Sin una retención suficiente, la investigación forense de un ataque puede quedar limitada a lo ocurrido en los últimos días.
• Retest de remediación — El retest de remediación es la fase posterior a un pentesting en la que se verifica que las vulnerabilidades reportadas han sido corregidas de forma efectiva, confirmando que los parches o cambios aplicados cierran realmente el riesgo identificado sin introducir nuevos fallos.
• RGPD / GDPR — El Reglamento General de Protección de Datos regula el tratamiento de datos personales en la UE, exigiendo bases legales claras, medidas de seguridad proporcionadas al riesgo y notificación de brechas de datos en un plazo de 72 horas.
• Riesgo de modelos de IA de terceros — El riesgo de modelos de IA de terceros hace referencia a las vulnerabilidades de seguridad, sesgos o dependencias que una organización hereda al integrar modelos, APIs o componentes de IA desarrollados por proveedores externos sin auditar su procedencia ni su comportamiento.
• Riesgos de IA agéntica — Los riesgos de IA agéntica surgen cuando un sistema de inteligencia artificial puede planificar y ejecutar acciones de forma autónoma —llamar a herramientas, modificar sistemas o interactuar con otros servicios— sin supervisión adecuada, ampliando la superficie de ataque frente a manipulación o errores en cadena.
• Riesgos del fine-tuning de modelos — Los riesgos del fine-tuning de modelos incluyen la introducción de sesgos o vulnerabilidades a través de datasets de ajuste contaminados o de baja calidad, la posible fuga de datos sensibles usados en el reentrenamiento y la degradación de las medidas de seguridad originales del modelo base.
• Robo de cookies de sesión — El robo de cookies de sesión consiste en obtener la cookie que identifica una sesión autenticada (mediante XSS, malware o interceptación de tráfico) para reutilizarla y suplantar al usuario en la aplicación sin necesidad de sus credenciales.
• Robo de identidad digital — El robo de identidad digital es el uso fraudulento de datos personales o credenciales de una persona, normalmente obtenidos mediante phishing o filtraciones de datos, para suplantar su identidad y cometer fraude en su nombre.
• Rootkit — Un rootkit es un tipo de malware diseñado para ocultar su propia presencia y la de otros procesos maliciosos en un sistema comprometido, a menudo operando a nivel de kernel para evadir antivirus y herramientas de detección convencionales.
• RSA — RSA es un algoritmo de cifrado asimétrico, basado en la dificultad de factorizar el producto de dos números primos grandes, utilizado tanto para cifrar datos como para generar firmas digitales y establecer conexiones seguras como TLS.
• RTO y RPO — RTO (Recovery Time Objective) es el tiempo máximo aceptable para restaurar un sistema tras un incidente, mientras que RPO (Recovery Point Objective) es la cantidad máxima de datos que la organización puede permitirse perder, medida en tiempo desde el último respaldo.
• Rug Pull — Un rug pull es un fraude en el que los creadores de un proyecto cripto o token retiran de forma repentina la liquidez o los fondos aportados por los inversores, dejando el token sin valor — puede ejecutarse mediante una salida planificada desde el inicio o aprovechando una función oculta en el smart contract.
• Runbook de seguridad — Un runbook de seguridad es un documento operativo detallado que describe los pasos técnicos exactos para ejecutar una tarea recurrente de seguridad, como aislar un endpoint comprometido o rotar una credencial filtrada. A diferencia de un playbook, que cubre la estrategia de respuesta ante un tipo de incidente, el runbook se centra en la ejecución técnica concreta.
• Safe Harbor (cláusula legal) — Una cláusula de safe harbor es el compromiso legal explícito de una empresa de no emprender acciones legales contra un investigador que reporte una vulnerabilidad de buena fe y dentro del alcance definido en su programa de bug bounty o VDP.
• Salt (en hashing de contraseñas) — Un salt es un valor aleatorio único que se añade a una contraseña antes de aplicarle una función hash, con el fin de evitar que dos contraseñas idénticas produzcan el mismo hash y dificultar los ataques mediante tablas precalculadas como las rainbow tables.
• SAML — SAML (Security Assertion Markup Language) es un estándar abierto basado en XML que permite intercambiar datos de autenticación y autorización entre un proveedor de identidad y un proveedor de servicio, habilitando el inicio de sesión único (SSO) entre distintas aplicaciones.
• SASE (Secure Access Service Edge) — SASE (Secure Access Service Edge) es un modelo de arquitectura que converge funciones de red (como SD-WAN) y de seguridad (como firewall, CASB o acceso de confianza cero) en un servicio único entregado desde la nube, orientado a usuarios y dispositivos distribuidos.
• SAST (Análisis Estático de Seguridad) — SAST (Static Application Security Testing) es el análisis del código fuente, bytecode o binario de una aplicación sin ejecutarla, para detectar patrones de vulnerabilidad (inyecciones, uso inseguro de APIs, secretos hardcodeados) en fases tempranas del desarrollo.
• SBOM (Inventario de Software) — Un SBOM (Software Bill of Materials) es un inventario formal de todos los componentes, librerías y dependencias que forman parte de una pieza de software, usado para responder con rapidez cuando se publica una vulnerabilidad crítica en alguno de esos componentes.
• SCA (Análisis de Composición de Software) — SCA (Software Composition Analysis) es el análisis de las dependencias de terceros y librerías de código abierto de una aplicación para identificar componentes con vulnerabilidades conocidas (CVE) o licencias incompatibles.
• SCADA — SCADA (Supervisory Control and Data Acquisition) es un sistema de control industrial que permite supervisar y controlar procesos físicos distribuidos, como redes eléctricas, plantas de tratamiento de agua o infraestructuras de transporte, recogiendo datos de sensores remotos y enviando órdenes a actuadores. Al conectarse cada vez más con redes IT, se ha convertido en un objetivo prioritario de ataques dirigidos a infraestructuras críticas.
• SCIM (aprovisionamiento de identidades) — SCIM (System for Cross-domain Identity Management) es un estándar que automatiza el aprovisionamiento y desaprovisionamiento de identidades entre un sistema de gestión de identidades y las aplicaciones que consumen esos usuarios, sincronizando altas, bajas y cambios de forma consistente.
• Script Kiddie — Un script kiddie es un atacante con conocimientos técnicos limitados que utiliza herramientas o scripts desarrollados por terceros para lanzar ataques sin comprender en profundidad su funcionamiento.
• SD-WAN — SD-WAN (Software-Defined Wide Area Network) es una tecnología que gestiona una red de área extensa mediante software, permitiendo enrutar el tráfico de forma dinámica entre distintas conexiones (MPLS, banda ancha, LTE) según políticas y rendimiento en lugar de depender de hardware dedicado por enlace.
• Secuestro de BGP (BGP Hijacking) — El secuestro de BGP (BGP Hijacking) ocurre cuando un actor anuncia de forma ilegítima rutas de direcciones IP que no le pertenecen a través del protocolo BGP (Border Gateway Protocol), desviando el tráfico hacia sistemas bajo su control para interceptarlo o bloquearlo.
• Secuestro de sesión (Session Hijacking) — El secuestro de sesión (Session Hijacking) es un ataque en el que un tercero toma el control de una sesión web activa de un usuario legítimo, normalmente robando o prediciendo el identificador de sesión, para actuar en la aplicación con sus privilegios sin necesidad de conocer su contraseña.
• Secure Boot — Secure Boot es un mecanismo de firmware que verifica la firma digital de cada componente cargado durante el arranque de un dispositivo, impidiendo la ejecución de código no autorizado o modificado.
• Security Champion — Un security champion es un miembro de un equipo de desarrollo que actúa como enlace con el equipo de seguridad, promoviendo buenas prácticas y detectando riesgos desde las fases tempranas del ciclo de vida del software.
• Segmentación de red — La segmentación de red consiste en dividir una infraestructura en subredes o zonas aisladas mediante VLANs, firewalls o listas de control de acceso, con el objetivo de limitar el movimiento lateral de un atacante y reducir la superficie de exposición de los sistemas críticos.
• Segmentación de red para IoT — La segmentación de red para IoT consiste en aislar los dispositivos conectados en redes o VLANs independientes de los sistemas críticos y de la red corporativa principal, limitando el impacto si alguno de ellos es comprometido. Es una de las medidas de mitigación más efectivas dado que muchos dispositivos IoT no admiten controles de seguridad avanzados a nivel de host.
• Seguridad de bases de datos vectoriales — La seguridad de bases de datos vectoriales cubre los controles de acceso, cifrado y aislamiento aplicados a los almacenes que guardan embeddings usados por sistemas de IA y RAG, evitando fugas de la información original que representan o manipulaciones que alteren las respuestas del modelo.
• Seguridad de dispositivos médicos conectados — La seguridad de dispositivos médicos conectados protege equipos como marcapasos, bombas de insulina o monitores hospitalarios frente a manipulación no autorizada, dado que un compromiso puede tener consecuencias directas sobre la salud o la vida del paciente, no solo sobre la confidencialidad de los datos. Los ciclos de vida largos y la dificultad para aplicar parches son retos característicos de este ámbito.
• Seguridad de edificios inteligentes — La seguridad de edificios inteligentes protege los sistemas que automatizan la climatización, la iluminación, los accesos y la videovigilancia de un edificio frente a ataques que podrían permitir a un intruso manipular cerraduras, deshabilitar cámaras o acceder a redes internas a través de dispositivos IoT mal protegidos. La integración de múltiples proveedores y protocolos incrementa la superficie de ataque.
• Seguridad de embeddings vectoriales — La seguridad de embeddings vectoriales aborda los riesgos asociados a las representaciones numéricas de texto, imágenes u otros datos usadas en sistemas de IA, incluyendo la posibilidad de reconstruir información sensible original mediante inversión de embeddings.
• Seguridad de firmware — La seguridad de firmware se ocupa de proteger el software de bajo nivel embebido en el hardware de un dispositivo, como routers, cámaras IP o PLCs, frente a manipulación o explotación, dado que un firmware comprometido puede otorgar al atacante persistencia y control total sobre el dispositivo, sobreviviendo incluso a un restablecimiento de fábrica. Incluye prácticas como la firma de firmware y el arranque seguro (secure boot).
• Seguridad de Kubernetes — La seguridad de Kubernetes cubre el conjunto de controles (RBAC, network policies, pod security standards, gestión de secretos, hardening del API server) necesarios para evitar que un clúster mal configurado permita movimiento lateral, escalada de privilegios o exposición de cargas de trabajo entre namespaces.
• Seguridad de sistemas ICS — La seguridad de sistemas ICS (Industrial Control Systems) abarca las prácticas y controles orientados a proteger los entornos que gestionan procesos industriales y de infraestructura crítica, donde la disponibilidad y la seguridad física suelen priorizarse sobre la confidencialidad. Requiere enfoques específicos porque muchos equipos ICS no admiten parcheado frecuente ni herramientas de seguridad convencionales.
• Seguridad de vehículos conectados — La seguridad de vehículos conectados abarca la protección de los sistemas telemáticos, de infoentretenimiento y de conducción asistida de un vehículo frente a ataques remotos, que pueden aprovechar la conectividad celular, Bluetooth o Wi-Fi del vehículo como puerta de entrada hacia redes internas como el bus CAN. Es un área en expansión debido al aumento de vehículos con conectividad permanente a internet.
• Seguridad de wallets de criptomonedas — La seguridad de wallets de criptomonedas abarca las prácticas y controles (custodia de la clave privada, hardware wallets, verificación de firmas de transacción, protección frente a phishing) necesarios para evitar que un atacante tome control de los fondos asociados a una dirección.
• Seguridad del protocolo MCP — La seguridad del protocolo MCP (Model Context Protocol) aborda los riesgos derivados de conectar un LLM a herramientas y fuentes de datos externas mediante este estándar, incluyendo la autenticación de servidores MCP, el control de permisos por herramienta y la prevención de ataques como el tool poisoning.
• Seguridad en arquitecturas serverless — La seguridad en arquitecturas serverless aborda los riesgos propios de funciones cloud efímeras (AWS Lambda, Azure Functions) — permisos IAM excesivos por función, inyecciones a través de eventos de entrada, dependencias vulnerables — donde no existe un servidor persistente que asegurar pero sí una superficie de ataque distribuida entre muchas funciones pequeñas.
• Seguridad en CI/CD — La seguridad en CI/CD consiste en proteger las canalizaciones de integración y despliegue continuo (permisos de los runners, gestión de secretos, integridad de dependencias, firmas de artefactos) frente a un atacante que busca comprometer el pipeline para inyectar código malicioso en producción.
• Seguridad en DeFi — La seguridad en DeFi (finanzas descentralizadas) abarca los riesgos específicos de protocolos financieros construidos sobre smart contracts — manipulación de oráculos de precio, ataques de préstamo flash, fallos en la lógica de pools de liquidez — que combinados con la exposición pública del código los convierten en objetivos de alto valor.
• Seguridad en Edge Computing — La seguridad en edge computing protege los dispositivos y nodos de procesamiento que se sitúan cerca del origen de los datos, fuera del centro de datos o la nube central, donde suelen existir menos controles físicos y de red que en un entorno centralizado. La distribución geográfica y la heterogeneidad de estos nodos amplían la superficie de ataque frente a un modelo tradicional centralizado.
• Seguridad en sistemas RAG — La seguridad en sistemas RAG (Retrieval-Augmented Generation) engloba las medidas para proteger las fuentes documentales y bases vectoriales que alimentan a un LLM, evitando que contenido malicioso inyectado en esos datos manipule las respuestas del modelo o provoque fugas de información confidencial.
• Seguridad física — La seguridad física engloba las medidas destinadas a proteger instalaciones, equipos y personas frente a accesos no autorizados, daños o robos, complementando los controles de ciberseguridad lógica.
• Seguridad IoT — La seguridad IoT es la disciplina que protege los dispositivos conectados a internet, como sensores, cámaras, wearables o electrodomésticos inteligentes, y las redes a las que se conectan frente a ataques que exploten su hardware, firmware o protocolos de comunicación limitados. Es un reto especialmente complejo por la heterogeneidad de dispositivos y la falta de capacidad de cómputo para implementar controles de seguridad tradicionales.
• Seguridad perimetral — La seguridad perimetral comprende las barreras físicas y tecnológicas (vallas, cámaras, sensores, control de accesos) desplegadas en los límites de una instalación para detectar y disuadir intrusiones.
• Seguridad por oscuridad — La seguridad por oscuridad es la práctica de basar la protección de un sistema en mantener en secreto su diseño o funcionamiento interno, en lugar de en controles de seguridad verificables. Se considera una estrategia insuficiente por sí sola, ya que deja de proteger en cuanto el atacante descubre esos detalles.
• Seguridad RFID — La seguridad RFID se ocupa de proteger los sistemas de identificación por radiofrecuencia, como tarjetas de acceso, etiquetas de inventario o pasaportes, frente a ataques de clonación, lectura no autorizada o repetición de señal (replay), que pueden permitir a un atacante suplantar una credencial física sin contacto directo. El cifrado de la comunicación y la autenticación mutua son controles habituales de mitigación.
• Sentencia Schrems II — La sentencia Schrems II (2020) del Tribunal de Justicia de la UE invalidó el Privacy Shield como mecanismo de transferencia de datos personales a Estados Unidos, obligando a las empresas a reforzar las garantías adicionales en sus transferencias internacionales.
• Server-Side Template Injection (SSTI) — La Server-Side Template Injection (SSTI) es una vulnerabilidad que aparece cuando datos controlados por el usuario se incrustan sin sanear en una plantilla que el servidor renderiza, permitiendo inyectar sintaxis del propio motor de plantillas. En los casos más graves permite ejecución remota de código en el servidor.
• Service Mesh — Un service mesh es una capa de infraestructura (Istio, Linkerd) que gestiona la comunicación entre microservicios, y que desde el punto de vista de seguridad permite aplicar cifrado mTLS, políticas de autorización y observabilidad de tráfico interno sin modificar el código de cada servicio.
• Sesgo algorítmico — El sesgo algorítmico es una distorsión sistemática en las decisiones o predicciones de un modelo de IA, originada por datos de entrenamiento no representativos o por el diseño del propio algoritmo, que puede traducirse en discriminación o resultados injustos hacia determinados grupos.
• Seudonimización — La seudonimización es el tratamiento de datos personales que sustituye los identificadores directos por seudónimos, de forma que la identificación de la persona solo es posible utilizando información adicional almacenada por separado, según define el RGPD.
• SGSI (Sistema de Gestión de Seguridad de la Información) — El SGSI (Sistema de Gestión de Seguridad de la Información) es el marco de políticas, procesos y controles definido en la norma ISO/IEC 27001 para gestionar de forma sistemática los riesgos de seguridad de la información de una organización.
• Shadow AI — Shadow AI es el uso de herramientas de inteligencia artificial (ChatGPT, Copilot, plugins de IA) por parte de empleados sin aprobación ni supervisión del equipo de seguridad, con el riesgo de que datos confidenciales de la empresa acaben introducidos en servicios de terceros fuera de su control.
• Shadow API — Una shadow API es un endpoint que existe y está activo en producción pero que no figura en la documentación, el inventario o el conocimiento del equipo de seguridad de la organización — normalmente una versión antigua, de prueba o creada sin pasar por el proceso formal de revisión.
• Shadow Data — El shadow data es la información corporativa que existe fuera de los sistemas y controles de seguridad oficiales de la organización, como copias en herramientas SaaS no autorizadas, entornos de prueba olvidados o exportaciones a hojas de cálculo personales. Al no estar inventariada, no recibe la protección ni la monitorización del resto de datos.
• Shadow IT — Shadow IT es cualquier sistema, aplicación o automatización usada dentro de una organización sin conocimiento ni aprobación del equipo de IT/seguridad — un riesgo creciente con herramientas low-code como Power Automate o extensiones de navegador.
• Shift Left (seguridad desde el diseño) — Shift Left es el principio de mover las pruebas y controles de seguridad a las fases más tempranas posibles del ciclo de desarrollo (diseño, codificación, pull request) en lugar de concentrarlas justo antes del despliegue, reduciendo el coste y el tiempo de corregir una vulnerabilidad.
• Shoulder Surfing — El shoulder surfing consiste en observar de forma disimulada la pantalla, el teclado o los documentos de una persona para obtener información sensible como contraseñas o datos confidenciales.
• SIEM — Un SIEM (Security Information and Event Management) centraliza y correlaciona los registros de eventos de seguridad de toda la infraestructura para detectar patrones de ataque que serían invisibles mirando cada sistema por separado.
• Silver Ticket (Kerberos) — Un Silver Ticket es un ataque contra Kerberos en el que el atacante falsifica un ticket de servicio usando el hash de la contraseña de una cuenta de servicio, obteniendo acceso directo a ese servicio concreto sin pasar por el controlador de dominio ni dejar el mismo rastro que un Golden Ticket.
• SIM Swapping — El SIM swapping es un ataque de ingeniería social en el que el atacante convence a un operador móvil de portar el número de teléfono de la víctima a una tarjeta SIM bajo su control, con el objetivo de interceptar códigos de verificación por SMS y tomar el control de cuentas cripto o financieras protegidas por ese segundo factor.
• Simulación de brechas y ataques (BAS) — Breach and Attack Simulation (BAS) es una tecnología que automatiza la ejecución continua de técnicas de ataque conocidas contra el propio entorno de una organización, para validar si los controles de seguridad detectan y bloquean cada técnica como se espera. A diferencia de un pentest puntual, ofrece una comprobación recurrente y a menor coste por ejecución.
• Skimming de tarjetas — El skimming de tarjetas consiste en instalar un dispositivo físico en un cajero automático o terminal de pago para copiar los datos de la banda magnética o chip de las tarjetas utilizadas.
• Smart Contract — Un smart contract es un programa que se ejecuta de forma autónoma sobre una blockchain (típicamente Ethereum) cuando se cumplen unas condiciones predefinidas, y cuyo código, una vez desplegado, es en la práctica inmutable — cualquier fallo de lógica o de seguridad queda expuesto de forma permanente.
• SOAR (Security Orchestration, Automation and Response) — SOAR automatiza la respuesta a alertas de seguridad repetitivas mediante playbooks predefinidos (por ejemplo, aislar un endpoint o bloquear una IP automáticamente), reduciendo el tiempo de respuesta y liberando al SOC de tareas manuales de bajo valor.
• SOC (Security Operations Center) — Un SOC es el equipo (propio o externalizado) responsable de monitorizar, detectar y responder a incidentes de seguridad de forma continua, normalmente apoyado en un SIEM y en playbooks de respuesta a incidentes.
• SOC 1 — SOC 1 es un informe de auditoría, basado en el estándar SSAE 18, que evalúa los controles internos de un proveedor de servicios relevantes para la información financiera de sus clientes, utilizado habitualmente por auditores externos en el marco de la auditoría de estados financieros.
• SOC 2 — SOC 2 es un estándar de auditoría (AICPA) muy exigido por clientes B2B estadounidenses y SaaS que certifica que una organización gestiona los datos de sus clientes conforme a cinco criterios: seguridad, disponibilidad, integridad de procesamiento, confidencialidad y privacidad.
• SOX (Sarbanes-Oxley) — SOX (Sarbanes-Oxley Act) es la ley estadounidense de 2002 que exige a las empresas cotizadas controles internos robustos sobre la información financiera, incluyendo controles de TI que garanticen la integridad de los sistemas contables.
• Spear phishing — El spear phishing es un phishing dirigido y personalizado contra una persona u organización concreta, usando información real sobre la víctima (su rol, sus contactos, proyectos actuales) para aumentar drásticamente la probabilidad de éxito frente a un phishing masivo genérico.
• Spyware — El spyware es un tipo de malware diseñado para recopilar información del usuario o del sistema, como pulsaciones de teclado, credenciales o historial de navegación, sin su conocimiento, y enviarla a un tercero. Suele instalarse junto a software legítimo o mediante técnicas de ingeniería social.
• SQL Injection (SQLi) — Una inyección SQL ocurre cuando una aplicación incorpora input del usuario directamente en una consulta a base de datos sin sanitizarlo, permitiendo a un atacante leer, modificar o eliminar datos, o en casos graves, tomar control del servidor de base de datos.
• SSO (Single Sign-On) — El Single Sign-On permite a un usuario autenticarse una sola vez y acceder con esa misma sesión a múltiples aplicaciones sin volver a introducir credenciales, centralizando la autenticación en un único proveedor de identidad.
• SSRF (Server-Side Request Forgery) — SSRF es una vulnerabilidad que permite a un atacante forzar al servidor de una aplicación a realizar peticiones HTTP hacia destinos internos que no debería poder alcanzar (bases de datos internas, metadatos de la nube, servicios administrativos), saltándose así el perímetro de red.
• STRIDE (modelo de amenazas) — STRIDE es una metodología de modelado de amenazas que clasifica los riesgos de un sistema en seis categorías: Suplantación, Manipulación de datos, Repudio, Divulgación de información, Denegación de servicio y Elevación de privilegios. Se utiliza como checklist durante el diseño para asegurar que no se omite ninguna categoría de amenaza relevante.
• Subdomain Takeover — Un subdomain takeover ocurre cuando un subdominio apunta (vía CNAME) a un servicio externo ya desactivado o sin reclamar, permitiendo a un atacante registrar ese recurso y servir contenido propio bajo un dominio de confianza de la víctima.
• Subida de ficheros insegura — La subida de ficheros insegura es una funcionalidad que permite a un usuario cargar archivos al servidor sin restringir de forma adecuada su tipo, contenido o ubicación de almacenamiento. Un atacante puede aprovecharla para subir un script ejecutable y obtener ejecución remota de código.
• Superficie de ataque (Attack Surface) — La superficie de ataque es el conjunto total de puntos —sistemas, APIs, cuentas, integraciones— por los que un atacante podría intentar entrar o exfiltrar datos de una organización; cuanto mayor y menos inventariada, más difícil de defender.
• Suplantación biométrica (Biometric Spoofing) — La suplantación biométrica consiste en engañar a un sistema de autenticación biométrica presentando una réplica falsa de un rasgo físico, como una huella dactilar de silicona o una foto para eludir el reconocimiento facial.
• Suplantación de token (Token Impersonation) — La suplantación de token (Token Impersonation) es una técnica en sistemas Windows que consiste en robar o reutilizar un token de acceso de otro proceso o usuario para ejecutar acciones con sus privilegios, permitiendo la escalada de privilegios o el movimiento lateral sin conocer su contraseña.
• SWIFT Customer Security Programme (CSCF) — El SWIFT Customer Security Programme (CSCF) es el marco de controles obligatorio que SWIFT exige a las entidades financieras conectadas a su red para proteger la infraestructura local de mensajería frente a fraude y ciberataques, con autoevaluación y atestación anuales.
• Tailgating (colarse tras alguien) — El tailgating es una técnica de ingeniería social física en la que un atacante accede a una zona restringida siguiendo de cerca a una persona autorizada, aprovechando que esta le sujeta la puerta o no verifica su identidad.
• Threat Hunter — Un threat hunter busca de forma proactiva indicios de compromiso o actividad maliciosa oculta en una red, sin esperar a que un sistema de alertas la detecte automáticamente.
• Threat Hunting — El threat hunting es la búsqueda proactiva de amenazas que ya han evadido las defensas automáticas, partiendo de una hipótesis sobre el comportamiento de un atacante en vez de esperar a que salte una alerta.
• Threat Intelligence (CTI) — La inteligencia de amenazas (Cyber Threat Intelligence) es el análisis de datos sobre actores, campañas y técnicas de ataque reales para anticipar riesgos específicos de un sector u organización, en vez de defenderse de forma genérica.
• TISAX — TISAX (Trusted Information Security Assessment Exchange) es el estándar de evaluación de seguridad de la información del sector automovilístico europeo, que permite a fabricantes y proveedores compartir resultados de auditoría a través de una plataforma común.
• TLPT (Threat-Led Penetration Testing) — El TLPT es un ejercicio de Red Team basado en inteligencia de amenazas reales, ejecutado bajo el marco TIBER-EU, que el Reglamento DORA exige cada 3 años a las entidades financieras designadas como críticas en la UE.
• TLS/SSL — TLS (Transport Layer Security), sucesor de SSL (Secure Sockets Layer), es un protocolo criptográfico que cifra las comunicaciones entre cliente y servidor, garantizando confidencialidad, integridad y autenticación del servidor mediante certificados digitales.
• Token de refresco (Refresh Token) — Un token de refresco (Refresh Token) es una credencial de larga duración que permite a una aplicación obtener nuevos tokens de acceso de corta duración sin requerir que el usuario vuelva a autenticarse, manteniendo la sesión activa de forma segura.
• Toma de control de cuenta (Account Takeover) — La toma de control de cuenta (Account Takeover, ATO) es un ataque en el que un tercero obtiene acceso no autorizado a la cuenta de un usuario legítimo, normalmente mediante credenciales robadas, phishing o relleno de credenciales, para usarla en fraude, exfiltración de datos o como punto de entrada a otros sistemas.
• TPM (Trusted Platform Module) — El TPM (Trusted Platform Module) es un chip de seguridad integrado en el hardware que almacena claves criptográficas de forma aislada y permite verificar la integridad del arranque de un dispositivo.
• Transferencia internacional de datos — La transferencia internacional de datos es el envío de datos personales a un país fuera del Espacio Económico Europeo, que el RGPD solo permite si el destino cuenta con una decisión de adecuación o se aplican garantías como las Cláusulas Contractuales Tipo.
• Tratamiento del riesgo — El tratamiento del riesgo es la fase del proceso de gestión de riesgos en la que se decide cómo actuar ante cada riesgo identificado: mitigarlo, transferirlo, evitarlo o aceptarlo, según el apetito de riesgo de la organización.
• Triage de vulnerabilidades — El triage es el proceso de validar, priorizar y descartar los reportes de vulnerabilidades recibidos (por bug bounty, VDP o canales internos) antes de que lleguen al equipo de desarrollo, separando los hallazgos reales y críticos del ruido y los falsos positivos.
• Troyano (Trojan) — El troyano es un tipo de malware que se disfraza de software legítimo para engañar al usuario y conseguir que lo ejecute, tras lo cual puede robar datos, instalar puertas traseras o dar control remoto al atacante. A diferencia de un virus o un gusano, no se replica por sí mismo.
• Troyano bancario — Un troyano bancario es un tipo de malware especializado en robar credenciales de banca online y datos financieros, a menudo mediante inyecciones web que modifican en tiempo real el contenido de páginas legítimas de banco o superponen pantallas falsas para capturar credenciales y códigos de verificación. Es especialmente frecuente en versiones para dispositivos móviles.
• TTPs (Tactics, Techniques and Procedures) — Las TTPs describen el comportamiento de un actor de amenaza a tres niveles: la táctica (el objetivo, p. ej. movimiento lateral), la técnica (el método usado) y el procedimiento (la implementación específica de esa técnica por ese actor concreto).
• Tunneling de DNS — El tunneling de DNS es una técnica que encapsula datos de otros protocolos dentro de consultas y respuestas DNS, aprovechando que este tráfico suele estar permitido en los firewalls, para exfiltrar información o establecer un canal de comando y control encubierto.
• Typosquatting — El typosquatting registra dominios con errores tipográficos muy similares a una marca legítima (una letra cambiada, un guion añadido) para captar tráfico por error o montar campañas de phishing con apariencia de confianza.
• Typosquatting de paquetes (npm/PyPI) — El typosquatting de paquetes es la publicación en registros como npm o PyPI de paquetes con nombres muy similares a los de librerías legítimas y populares, apostando a que un desarrollador cometa un error tipográfico al instalar una dependencia y ejecute código malicioso sin saberlo.
• UEBA (Análisis de Comportamiento de Usuarios y Entidades) — UEBA es una tecnología de seguridad que establece un patrón de comportamiento normal para usuarios y entidades, como servidores o dispositivos, y genera alertas cuando detecta desviaciones significativas, como accesos a horas inusuales o volúmenes de descarga atípicos. Complementa a las herramientas basadas en firmas al detectar amenazas internas y credenciales comprometidas.
• Use-After-Free — Use-After-Free es una vulnerabilidad de gestión de memoria en la que un programa sigue utilizando un puntero después de haber liberado la memoria a la que apunta, lo que un atacante puede explotar para corromper datos, provocar fallos o ejecutar código arbitrario.
• Validación de entrada insuficiente — La validación de entrada insuficiente se produce cuando una aplicación no comprueba, filtra o sanea correctamente los datos que recibe de un usuario o sistema externo antes de procesarlos. Es la causa raíz de numerosas vulnerabilidades, entre ellas la inyección SQL, el cross-site scripting y los desbordamientos de buffer.
• VDP (Vulnerability Disclosure Program) — Un VDP es un canal formal de divulgación responsable de vulnerabilidades: define cómo y dónde pueden los investigadores reportar fallos de seguridad y qué esperar a cambio, sin ofrecer recompensas económicas como el bug bounty.
• Vishing y Smishing — Vishing es phishing por llamada de voz (voice phishing) y smishing es phishing por SMS — ambos buscan el mismo objetivo que el phishing por correo (obtener credenciales o datos) pero a través de canales que generan menos sospecha en parte de los usuarios.
• VLAN — Una VLAN (Virtual Local Area Network) es una red lógica que agrupa dispositivos en un mismo dominio de difusión independientemente de su ubicación física, permitiendo segmentar el tráfico dentro de una misma infraestructura de switches sin necesidad de cableado adicional.
• VPN (Red Privada Virtual) — Una VPN (Virtual Private Network) crea un túnel cifrado entre un dispositivo y una red remota a través de una red pública como Internet, protegiendo la confidencialidad del tráfico y permitiendo el acceso a recursos internos como si el usuario estuviera conectado localmente.
• Vulnerabilidad de lógica de negocio — Una vulnerabilidad de lógica de negocio abusa del flujo legítimo de una aplicación de una forma que su código nunca contempló —por ejemplo, aplicar dos veces un mismo descuento o saltarse un paso de verificación— sin explotar ningún fallo técnico tradicional, por lo que ningún escáner automatizado la detecta.
• Vulnerabilidad N-day — Una vulnerabilidad N-day es un fallo de seguridad ya conocido públicamente y para el que existe parche del fabricante, pero que sigue siendo explotable en los sistemas que aún no lo han aplicado. Se distingue de una vulnerabilidad zero-day precisamente en que la corrección ya está disponible.
• Vulnerabilidad Zero-Click — Una vulnerabilidad zero-click es un fallo de seguridad que se puede explotar sin ninguna interacción por parte de la víctima, por ejemplo al recibir un mensaje o una llamada procesados automáticamente por la aplicación objetivo. Su ausencia de indicios visibles las hace especialmente valoradas en ataques dirigidos y de espionaje.
• Vulnerabilidades en GraphQL — Las vulnerabilidades en GraphQL agrupan fallos propios de este estilo de API, como consultas anidadas sin límite de profundidad, introspección expuesta en producción, fallos de autorización a nivel de campo o exposición de datos por consultas por lotes mal controladas.
• WAF (Web Application Firewall) — Un WAF filtra y monitoriza el tráfico HTTP hacia una aplicación web para bloquear patrones de ataque conocidos (SQLi, XSS), aunque no sustituye a un pentesting: no detecta fallos de lógica de negocio ni vulnerabilidades específicas de la aplicación.
• Wallet Drainer — Un wallet drainer es un script o servicio malicioso, normalmente distribuido mediante un sitio de phishing que imita un dApp o airdrop legítimo, diseñado para inducir a la víctima a firmar una transacción o aprobación que transfiere de forma automática todos los activos de su wallet al atacante.
• Whaling (phishing a directivos) — Whaling es una variante de phishing dirigida específicamente a altos directivos o cargos ejecutivos de una organización, con mensajes personalizados que suplantan a socios, proveedores o autoridades para obtener transferencias de dinero, credenciales o información confidencial.
• White Hat, Black Hat y Grey Hat — White hat, black hat y grey hat clasifican a los hackers según su intención: el white hat actúa con autorización y fines defensivos, el black hat con fines maliciosos y sin permiso, y el grey hat se mueve en una zona intermedia, a menudo sin autorización pero sin intención dañina.
• Wiper (malware destructivo) — Un wiper es un tipo de malware cuyo objetivo no es el robo de datos ni la extorsión, sino destruir o hacer irrecuperable la información de los sistemas infectados, normalmente sobrescribiendo o corrompiendo el disco. Se emplea sobre todo en ataques con fines de sabotaje o disrupción.
• WPA3 — WPA3 (Wi-Fi Protected Access 3) es el estándar de seguridad más reciente para redes Wi-Fi, que sustituye a WPA2 e incorpora un protocolo de intercambio de claves (SAE) resistente a ataques de diccionario offline, además de cifrado individualizado del tráfico en redes abiertas.
• XDR (Extended Detection and Response) — XDR amplía el modelo del EDR correlacionando telemetría de múltiples fuentes —endpoints, red, correo, identidad, cloud— en una única plataforma, para detectar ataques que solo son visibles al cruzar señales de varias capas.
• XSS (Cross-Site Scripting) — XSS es una vulnerabilidad que permite a un atacante inyectar código JavaScript malicioso en una página web vista por otros usuarios, pudiendo robar sesiones, credenciales o ejecutar acciones en su nombre.
• XXE (XML External Entity) — XXE es una vulnerabilidad en parsers XML mal configurados que permite a un atacante definir entidades externas para leer ficheros del servidor, realizar peticiones SSRF o provocar una denegación de servicio.
• Zero Trust — Zero Trust es un modelo de seguridad que parte de "nunca confiar, siempre verificar": ningún usuario, dispositivo o servicio se considera de confianza por estar dentro de la red corporativa, y cada acceso se autentica y autoriza de forma explícita, con el mínimo privilegio necesario.
• Zero-day — Una vulnerabilidad zero-day es un fallo de seguridad desconocido para el fabricante del software en el momento en que se descubre o explota, por lo que no existe todavía un parche disponible.
• Zip Bomb — Una Zip Bomb es un archivo comprimido diseñado para expandirse a un tamaño desproporcionadamente grande al descomprimirse, con el objetivo de agotar el espacio en disco, la memoria o la CPU del sistema o antivirus que intenta procesarlo.