Una operación de ransomware recientemente identificada que se hace llamar Moondancer ha comenzado a reclutar activamente afiliados criminales con un enfoque específico en América Latina, según el monitoreo de inteligencia de amenazas citado por Brinztech. El grupo está estructurado como un sindicato de ransomware como servicio (RaaS), lo que significa que crea y mantiene el software malicioso mientras subcontrata los ataques reales a una red de socios remunerados. Cabe destacar que Moondancer ha declarado públicamente que no atacará organizaciones de atención médica, una estrategia de marca cada vez más común entre los operadores de ransomware que intentan proyectar una imagen de moderación incluso mientras reclutan criminales para irrumpir en otros tipos de redes.

Si bien Moondancer aún está emergiendo y los detalles siguen siendo limitados, su campaña de reclutamiento se ajusta a un patrón que ha definido la evolución del ransomware durante años: en lugar de que un solo grupo lleve a cabo cada ataque, los operadores de RaaS actúan más como franquicias criminales, proporcionando herramientas, infraestructura y acuerdos de reparto de pagos a afiliados independientes que realizan la piratería práctica.

Cómo funciona el reclutamiento de Ransomware como Servicio

Los grupos RaaS suelen anunciarse en foros subterráneos o canales exclusivos por invitación, ofreciendo una parte de los pagos de rescate a los afiliados que logran vulnerar un objetivo, implementar la carga útil de cifrado y negociar con las víctimas. El grupo central detrás del malware, en este caso Moondancer, proporciona la columna vertebral técnica: las herramientas de cifrado, los sitios de filtración para presionar a las víctimas y, a veces, incluso soporte al cliente para los afiliados.

Esta división del trabajo es parte de la razón por la que el ransomware ha escalado de manera tan drástica. Reduce la barrera de entrada para criminales con menos habilidades técnicas, mientras permite que los desarrolladores principales se concentren en mejorar sus herramientas y evitar la exposición directa durante los ataques. Informes recientes han rastreado esta misma dinámica en todo el panorama de amenazas, incluido el informe de Black Kite 2026 que muestra que el ransomware afectó a 7,551 víctimas en todo el mundo el año pasado, una escala solo alcanzable mediante este tipo de modelo impulsado por afiliados.

Por qué América Latina está en el punto de mira

La decisión de Moondancer de dirigir su campaña de reclutamiento específicamente a América Latina es coherente con las tendencias más amplias en cómo los grupos de ransomware eligen sus regiones de expansión. Los atacantes suelen gravitar hacia áreas donde las defensas de ciberseguridad aún están madurando, donde la cooperación policial local en casos de ciberdelincuencia puede ser más lenta, o donde la familiaridad lingüística y cultural da a los afiliados una ventaja para elaborar señuelos de phishing convincentes y negociar con víctimas locales.

Este enfoque regional refleja patrones observados en otros lugares. La actividad del ransomware ha ido en aumento a nivel mundial, con ataques aumentando un 87% interanual y solo las empresas españolas enfrentando un promedio de 2,068 ataques por semana. Los grupos que buscan territorios nuevos y grupos de víctimas menos saturados miran cada vez más más allá de América del Norte y Europa Occidental, y la creciente economía digital de América Latina lo convierte en un objetivo atractivo para exactamente este tipo de expansión.

El descargo público sobre evitar objetivos de atención médica también merece atención. Los grupos de ransomware han enfrentado importantes reacciones negativas reputacionales y de aplicación de la ley después de que ataques a hospitales interrumpieran la atención al paciente en el pasado. Al excluir explícitamente la atención médica, Moondancer parece estar tratando de reducir la intensidad de la atención de la aplicación de la ley internacional mientras construye una empresa criminal que puede afectar a empresas, gobiernos locales y otras organizaciones en la región.

Qué significa esto para ti

Si diriges una empresa o gestionas infraestructura de TI en América Latina, este desarrollo es una señal para revisar tus defensas contra el ransomware ahora, en lugar de después de que ocurra un incidente. Los ataques con reclutamiento de afiliados tienden a acelerarse rápidamente una vez que un grupo RaaS ha construido su red, ya que más afiliados simplemente significa más intentos de vulneración ocurriendo en paralelo.

Para usuarios individuales, el riesgo es menos directo pero sigue siendo relevante. Los afiliados de ransomware frecuentemente obtienen acceso inicial a través de correos de phishing, credenciales de acceso remoto comprometidas o descargas maliciosas, las mismas técnicas utilizadas en otras campañas de malware, incluidas recientes como el instalador falso de CCleaner que distribuye el spyware GhostDesk. Practicar precaución con descargas y enlaces no solicitados sigue siendo una de las defensas personales más efectivas contra convertirse en un punto de entrada para una violación organizacional más grande.

Recomendaciones prácticas

Las organizaciones en América Latina, y en cualquier otro lugar que pueda eventualmente ver actividad de Moondancer, deberían priorizar algunos pasos concretos. Asegúrate de que los puntos de acceso remoto, incluidas las VPN y las conexiones RDP, requieran autenticación multifactor, ya que las credenciales comprometidas siguen siendo uno de los vectores de entrada más comunes para el ransomware impulsado por afiliados. Mantén copias de seguridad offline y probadas de datos críticos, ya que un plan de recuperación funcional elimina gran parte del apalancamiento del que depende una demanda de rescate. Capacita al personal para reconocer intentos de phishing y monitorea actividad inusual de cuentas que podría indicar que un afiliado ya ha establecido una posición.

La aparición del ransomware Moondancer es un recordatorio de que el modelo de negocio RaaS sigue produciendo nuevos participantes, cada uno buscando regiones desatendidas y víctimas nuevas. Mantenerse informado sobre estos cambios y actuar sobre la higiene básica de seguridad antes de que ocurra un ataque sigue siendo la forma más confiable de evitar convertirse en parte del próximo titular.