새로 확인된 랜섬웨어 조직인 '문댄서(Moondancer)'가 라틴아메리카에 특히 초점을 맞춰 범죄 제휴사들을 적극적으로 모집하기 시작했다고 Brinztech가 인용한 위협 인텔리전스 모니터링이 밝혔다. 이 그룹은 랜섬웨어-서비스(RaaS) 신디케이트 구조로, 악성 소프트웨어를 구축하고 유지하는 동시에 실제 공격은 유료 파트너 네트워크에 아웃소싱한다. 주목할 점은 문댄서가 의료 기관을 표적으로 삼지 않겠다고 공개적으로 밝혔다는 것인데, 이는 범죄자들을 모집해 다른 유형의 네트워크에 침입시키면서도 자제력 있는 이미지를 투영하려는 랜섬웨어 운영자들 사이에서 점점 더 흔해지고 있는 브랜딩 전략이다.

문댄서는 아직 신생 조직이고 세부 정보는 제한적이지만, 그 모집 활동은 수년간 랜섬웨어의 진화를 정의해 온 패턴에 부합한다. 단일 그룹이 모든 공격을 수행하는 대신, RaaS 운영자는 일종의 범죄 프랜차이즈처럼 행동하며 실제 해킹을 수행하는 독립 제휴사들에게 도구, 인프라, 그리고 수익 분배 체계를 제공한다.

랜섬웨어-서비스 모집이 작동하는 방식

RaaS 그룹은 일반적으로 지하 포럼이나 초대 전용 채널에 광고하며, 대상에 침입하고 암호화 페이로드를 배포하고 피해자와 협상하는 데 성공한 제휴사들에게 랜섬머니의 일부를 제안한다. 이 경우 문댄서라는 맬웨어 뒤에 있는 핵심 그룹은 기술적 기반을 제공한다. 암호화 도구, 피해자 압박을 위한 유출 사이트, 때로는 제휴사를 위한 고객 지원까지 포함한다.

이러한 분업은 랜섬웨어가 이토록 극적으로 확장된 이유 중 하나다. 기술적으로 덜 숙련된 범죄자들의 진입 장벽을 낮추면서 핵심 개발자들은 도구 개선과 공격 중 직접 노출 회피에 집중할 수 있게 한다. 최근 보도는 위협 환경 전반에서 이와 동일한 역학을 추적해 왔으며, Black Kite의 2026년 보고서는 랜섬웨어가 작년에 전 세계 7,551명의 피해자를 발생시켰다고 밝혔는데, 이는 이러한 제휴 주도 모델을 통해서만 달성 가능한 규모다.

왜 라틴아메리카가 표적이 되었나

문댄서가 모집 캠페인을 특히 라틴아메리카에 겨냥한 결정은 랜섬웨어 그룹이 확장 지역을 선택하는 방식의 광범위한 추세와 일치한다. 공격자들은 사이버 보안 방어가 아직 성숙하는 중이고, 사이버 범죄 사건에 대한 현지 법 집행 협력이 더 느릴 수 있으며, 언어적·문화적 친숙함이 설득력 있는 피싱 유인물 제작과 현지 피해자와의 협상에서 제휴사에게 이점을 주는 지역으로 향하는 경향이 있다.

이러한 지역적 타겟팅은 다른 곳에서도 볼 수 있는 패턴을 반영한다. 랜섬웨어 활동은 전 세계적으로 증가하고 있으며, 공격이 전년 대비 87% 급증했고 스페인 기업만 주당 평균 2,068건의 공격을 겪고 있다. 새로운 영역과 덜 포화된 피해자 풀을 찾는 그룹들은 점점 북미와 서유럽 너머를 바라보고 있으며, 라틴아메리카의 성장하는 디지털 경제는 이러한 확장에 정확히 매력적인 표적이 된다.

의료 분야를 회피하겠다는 공개적 부인도 주목할 만하다. 랜섬웨어 그룹은 과거 병원 공격이 환자 치료를 방해한 후 상당한 평판 및 법 집행 기관의 반발에 직면했다. 의료 분야를 명시적으로 배제함으로써 문댄서는 지역 전역의 기업, 지방 정부 및 기타 조직에 영향을 미칠 수 있는 범죄 기업을 구축하면서도 국제 법 집행 기관의 주목 강도를 줄이려는 것으로 보인다.

이것이 당신에게 의미하는 바

라틴아메리카에서 사업을 운영하거나 IT 인프라를 관리한다면, 이 소식은 사고 발생 후가 아니라 지금 랜섬웨어 방어를 재점검하라는 신호다. 제휴사가 모집한 공격은 RaaS 그룹이 네트워크를 구축한 후 급속도로 증가하는 경향이 있다. 제휴사가 많을수록 더 많은 침입 시도가 동시에 발생하기 때문이다.

개인 사용자의 경우 위험은 덜 직접적이지만 여전히 관련이 있다. 랜섬웨어 제휴사는 종종 피싱 이메일, 손상된 원격 액세스 자격 증명, 또는 악성 다운로드를 통해 초기 액세스를 얻는데, 이는 최근 가짜 CCleaner 설치 프로그램이 GhostDesk 스파이웨어를 유포한 사례를 포함한 다른 맬웨어 캠페인에서 사용되는 것과 동일한 기술이다. 다운로드와 원치 않는 링크에 주의를 기울이는 것은 더 큰 조직 침해의 진입점이 되는 것을 방지하는 가장 효과적인 개인 방어 수단 중 하나로 남아 있다.

실행 가능한 조치

라틴아메리카 및 문댄서 활동이 결국 나타날 수 있는 다른 지역의 조직들은 몇 가지 구체적인 단계를 우선시해야 한다. VPN 및 RDP 연결을 포함한 원격 액세스 지점에 다단계 인증이 필요하도록 보장하라. 손상된 자격 증명은 제휴사 주도 랜섬웨어의 가장 흔한 진입 경로 중 하나로 남아 있기 때문이다. 중요한 데이터의 오프라인 테스트된 백업을 유지하라. 작동하는 복구 계획은 랜섬머니 요구가 의존하는 레버리지의 대부분을 제거하기 때문이다. 직원들이 피싱 시도를 인식하도록 훈련시키고, 제휴사가 이미 발판을 확보했음을 나타낼 수 있는 비정상적인 계정 활동을 모니터링하라.

문댄서 랜섬웨어의 등장은 RaaS 비즈니스 모델이 계속해서 새로운 진입자를 만들어내고 있으며, 각각 서비스가 부족한 지역과 새로운 피해자를 찾고 있음을 상기시킨다. 이러한 변화에 대한 정보를 유지하고, 공격 발생 전에 기본적인 보안 위생에 대해 행동하는 것이 다음 헤드라인의 일부가 되는 것을 피하는 가장 신뢰할 수 있는 방법으로 남아 있다.