Grupo de Amenaza FIN.

Mandiant (hoy Google Threat Intelligence) usa el prefijo FIN para clusters con motivacion economica, frente a APT para actores de espionaje. Ejemplos relevantes: FIN6 (datos de tarjetas en POS, despues despliegues de ransomware), FIN7 (carding y BEC de larga duracion, imputaciones publicas en 2018, evolucion hacia Carbanak/Carbon Spider), FIN8 (POS en hosteleria y retail, despues afiliado de Ragnar Locker), FIN11 (operador del sitio de filtraciones de Cl0p, campana MOVEit) y FIN12 (uno de los desplegadores de ransomware mas activos). Cada cluster se distingue por herramientas, artefactos en la kill chain, temas de cebo, infraestructura y patrones de cash-out cripto. Algunos FIN se solapan con intereses estatales; los analistas mantienen el nombre hasta que se cumplen los criterios de graduacion.