新たに特定されたランサムウェア運営組織「Moondancer」が、ラテンアメリカに特に焦点を当てて犯罪アフィリエイトの積極的な募集を開始したことが、Brinztechが引用した脅威インテリジェンスの監視情報によって明らかになった。このグループはランサムウェア・アズ・ア・サービス（RaaS）シンジケートとして構成されており、つまり悪意のあるソフトウェアの開発と保守を自ら行い、実際の攻撃は報酬を受け取る提携パートナーのネットワークに外部委託している。注目すべきは、Moondancerが医療機関を標的にしないと公に表明している点である。これは、犯罪者を募って他の種類のネットワークへの侵入を実行させながらも、抑制的なイメージを投影しようとするランサムウェア事業者の間でますます一般的になっているブランディング戦略である。

Moondancerはまだ新興であり詳細は限られているが、その勧誘活動は、ランサムウェアの進化を何年にもわたって形作ってきたパターンに適合している。つまり、単一のグループがすべての攻撃を実行するのではなく、RaaS運営者は犯罪フランチャイズのように機能し、ツール、インフラ、支払い分配の取り決めを提供し、実際のハッキングを行う独立したアフィリエイトに委ねるのである。

ランサムウェア・アズ・ア・サービス勧誘の仕組み

RaaSグループは通常、地下フォーラムや招待制チャンネルで広告を出し、標的への侵入、暗号化ペイロードの展開、被害者との交渉に成功したアフィリエイトに身代金の分配分を提供する。この場合Moondancerであるマルウェアの中核グループは、技術的な基盤（暗号化ツール、被害者に圧力をかけるためのリークサイト、場合によってはアフィリエイト向けのカスタマーサポートまで）を提供する。

この分業は、ランサムウェアがこれほど劇的に規模を拡大できた理由の一部である。技術的に熟練していない犯罪者への参入障壁を下げる一方で、中核となる開発者はツールの改良に集中し、攻撃中の直接的な露出を回避できる。最近の報道では、脅威の状況全体で同じ力学が追跡されており、Black Kiteの2026年レポートでは、ランサムウェアが昨年世界で7,551人の被害者に影響を与えたことが示されている。これは、このようなアフィリエイト主導モデルによってのみ達成可能な規模である。

なぜラテンアメリカが標的になるのか

Moondancerが勧誘キャンペーンを特にラテンアメリカに絞った決定は、ランサムウェアグループが拡大地域を選択する際の広範な傾向と一致している。攻撃者は、サイバーセキュリティ防御がまだ成熟途上にある地域、サイバー犯罪事件に関する地元法執行機関の協力が遅い可能性がある地域、または言語的・文化的親近感が説得力のあるフィッシングの餌を作成し地元の被害者と交渉する際にアフィリエイトに有利に働く地域に引き寄せられることが多い。

この地域的標的化は、他の場所で見られるパターンを反映している。ランサムウェア活動は世界的に増加しており、攻撃は前年比87%急増し、スペインの企業だけでも毎週平均2,068件の攻撃に直面している。新たな領域と飽和していない被害者プールを求めるグループは、ますます北米と西ヨーロッパを超えて目を向けており、ラテンアメリカの成長するデジタル経済は、まさにこの種の拡大にとって魅力的な標的となっている。

医療機関を回避するという公の免責事項も注目に値する。ランサムウェアグループは、過去に病院への攻撃が患者ケアを混乱させた後、重大な評判的および法執行機関からの反発に直面してきた。医療機関を明示的に除外することで、Moondancerは、地域全体の企業、地方政府、その他の組織に影響を与えることができる犯罪組織を構築しながらも、国際的な法執行機関の注意の強度を低減しようとしているように見える。

これがあなたにとって意味すること

ラテンアメリカでビジネスを運営しているか、ITインフラを管理している場合、この展開は、インシデント発生後ではなく今すぐランサムウェア防御を見直すべきシグナルである。アフィリエイト募集による攻撃は、RaaSグループがネットワークを構築すると急速に増加する傾向がある。なぜなら、アフィリエイトが増えるということは、単純に並行して行われる侵入試行が増えることを意味するからである。

個人ユーザーにとって、リスクは直接的ではないが依然として関連性がある。ランサムウェアアフィリエイトは、フィッシングメール、侵害されたリモートアクセス認証情報、悪意のあるダウンロードを通じて初期アクセスを得ることが多く、これらは最近の偽CCleanerインストーラーがGhostDeskスパイウェアを拡散するケースを含む他のマルウェアキャンペーンで使用されるのと同じ手法である。ダウンロードや不審なリンクに注意を払うことは、大規模な組織的侵害の入口になることを防ぐ最も効果的な個人防御策の一つであり続けている。

実践可能な対策

ラテンアメリカの組織、および最終的にMoondancerの活動を目撃する可能性のある他の地域の組織は、いくつかの具体的なステップを優先すべきである。VPNやRDP接続を含むリモートアクセスポイントに多要素認証を要求することを確保する。侵害された認証情報は、アフィリエイト主導のランサムウェアの最も一般的な侵入経路の一つであり続けているからである。重要なデータのオフラインでテスト済みのバックアップを維持する。機能する復旧計画は、身代金要求が依存するレバレッジの多くを排除するからである。スタッフにフィッシング試行を認識する訓練を行い、アフィリエイトがすでに足場を築いたことを示す可能性のある異常なアカウント活動を監視する。

Moondancerランサムウェアの出現は、RaaSビジネスモデルが、それぞれが十分にサービスを受けていない地域と新たな被害者を求めて、新規参入者を生み出し続けていることを思い起こさせる。これらの変化について情報を得続け、攻撃が発生する前に基本的なセキュリティ衛生に基づいて行動することが、次の見出しの一部になることを避ける最も信頼できる方法であり続けている。