BOLETÍN OFICIAL DEL ESTADO
Núm. 106

Miércoles 1 de mayo de 2024

Sec. I. Pág. 49798

ii. Modificación malintencionada y no autorizada de parametrización o configuración
de red que pueda provocar indisponibilidad parcial o total del servicio en el activo o la
red, así como favorecer la exfiltración de tráfico comentada en el punto anterior.
A. Manipulación de configuración o parametrización que afecte al funcionamiento
del equipo (políticas de enrutamiento de tráfico, configuración de DNS, sesiones de
usuario, imágenes de funciones de red virtuales, etc.)
B. Manipulación de configuración de seguridad del equipo (políticas de seguridad,
servicios ofrecidos en el aplicativo y sistema operativo, algoritmos criptográficos, reglas
de acceso) y creación de puertas traseras.
C. Ejecución de forma intencionada o inconsciente de software/código malicioso
(SQL, XSS injection, rootkits, malware/ransomware, etc.)
iii. Explotación de vulnerabilidades en hardware o software, que permitan un acceso
simple y eficaz para poder ejecutar las amenazas comentadas en los dos puntos
anteriores (vulnerabilidades conocidas/CVEs, nuevas vulnerabilidades y de zero-day).
b) Compromiso de las comunicaciones o datos de usuario a través de la captura,
interceptación, secuestro de tráfico de servicio o su modificación:
Esta categoría recoge las acciones realizadas para espiar, interrumpir o alterar las
comunicaciones o datos de usuario en el plano de servicio, sin su consentimiento.
Las principales amenazas dentro de esta categoría serían:
i. Espionaje de comunicaciones de un determinado usuario en entornos con alto
nivel de exposición como es el caso del acceso radio o la interconexión de Roaming.
ii. Obtención de información sensible de los usuarios (identificadores de usuario,
localización, servicios, etc) en interfaces expuestos que puedan ser utilizados como
vectores de información para realizar ataques de mayor impacto.
iii. Manipulación de las comunicaciones en interfaces expuestos a través de
actividades Man in The Middle (MiTM) y/o de los datos de usuario, siendo posible
provocar acciones ilegales tales como fraude, suplantación de identidad, etc.
c)

Denegación de Servicio (DoS).

i. Ataques volumétricos de denegación de servicio (DoS/DDoS): Inundación de
tráfico a las interfaces expuestas de los activos (dispositivos de usuario, interconexiones,
etc.) buscando la sobrecarga de las capacidades de los elementos, con el objetivo de
provocar un malfuncionamiento/disrupción en la red.
ii. Ataques dirigidos a usuarios específicos con el objetivo de provocar su
indisponibilidad en la red (por ejemplo, ataques de interferencia o desregistro de la red).
iii. Daños no intencionados por los operadores por errores de configuración:
Recoge las acciones no intencionadas por parte de un operador con acceso a la gestión
de un activo que puedan resultar en un fallo o la reducción de funcionalidad de este,
como, por ejemplo, la configuración pobre/errónea de los activos de red y sus
capacidades de seguridad (aislamiento, bastionado, segmentación, etc.) o error en su
gestión o manipulación por desconocimiento o falta de formación o diligencia.
iv. Mal funcionamiento del elemento: Engloba el malfuncionamiento «nativo» (por
causas ajenas a la configuración del activo) que pueda provocar una disrupción total o
parcial de su servicio.

cve: BOE-A-2024-8715
Verificable en https://www.boe.es

Esta categoría recoge aquellas acciones, actividades o incidencias malintencionadas o no
que puedan provocar una disrupción total o parcial en el equipo, causando una afectación a
los usuarios de la red. Las principales amenazas dentro de esta categoría serían: