ปฏิบัติการแรนซัมแวร์ที่เพิ่งถูกระบุชื่อใหม่ซึ่งเรียกตัวเองว่า Moondancer ได้เริ่มเกณฑ์พันธมิตรอาชญากรอย่างแข็งขันโดยมุ่งเน้นไปที่ลาตินอเมริกาเป็นพิเศษ ตามการเฝ้าระวังข่าวกรองภัยคุกคามที่ Brinztech อ้างอิง กลุ่มนี้มีโครงสร้างเป็นกลุ่มพันธมิตรแรนซัมแวร์ในรูปแบบบริการ (RaaS) หมายความว่ากลุ่มนี้สร้างและบำรุงรักษาซอฟต์แวร์恶意 ขณะที่ว่าจ้างการโจมตีจริงให้กับเครือข่ายพันธมิตรที่ได้รับค่าตอบแทน ที่น่าสังเกตคือ Moondancer ได้ประกาศต่อสาธารณะว่าจะไม่โจมตีองค์กรด้านการดูแลสุขภาพ ซึ่งเป็นการเคลื่อนไหวด้านการสร้างภาพลักษณ์ที่แพร่หลายมากขึ้นในหมู่ผู้ประกอบการแรนซัมแวร์ที่พยายามฉายภาพของความยับยั้งชั่งใจแม้ในขณะที่พวกเขาเกณฑ์อาชญากรให้บุกเข้าไปในเครือข่ายประเภทอื่น ๆ

ในขณะที่ Moondancer ยังคงเกิดขึ้นใหม่และรายละเอียดยังมีจำกัด การขับเคลื่อนการเกณฑ์พันธมิตรของกลุ่มนี้สอดคล้องกับรูปแบบที่กำหนดวิวัฒนาการของแรนซัมแวร์มานานหลายปี: แทนที่จะเป็นกลุ่มเดียวที่ดำเนินการโจมตีทุกครั้ง ผู้ประกอบการ RaaS ทำหน้าที่เหมือนแฟรนไชส์อาชญากรรม โดยให้เครื่องมือ โครงสร้างพื้นฐาน และการจัดการการแบ่งส่วนการชำระเงินแก่พันธมิตรอิสระที่ลงมือแฮ็กด้วยตนเอง

วิธีการทำงานของการเกณฑ์พันธมิตรในรูปแบบ Ransomware-as-a-Service

กลุ่ม RaaS มักโฆษณาบนฟอรัมใต้ดินหรือช่องทางที่ต้องได้รับคำเชิญ โดยเสนอส่วนแบ่งจากการจ่ายค่าไถ่ให้กับพันธมิตรที่สามารถบุกรุกเป้าหมายได้สำเร็จ ติดตั้งเพย์โหลดเข้ารหัส และเจรจากับเหยื่อ กลุ่มแกนหลักที่อยู่เบื้องหลังมัลแวร์ ในกรณีนี้คือ Moondancer จะให้กระดูกสันหลังทางเทคนิค: เครื่องมือเข้ารหัส หน้าเว็บรั่วไหลสำหรับกดดันเหยื่อ และบางครั้งยังรวมถึงการสนับสนุนลูกค้าสำหรับพันธมิตร

การแบ่งงานนี้เป็นส่วนหนึ่งของเหตุผลที่แรนซัมแวร์เติบโตอย่างรวดเร็ว มันลดอุปสรรคในการเข้าสู่วงการสำหรับอาชญากรที่มีทักษะทางเทคนิคน้อยกว่า ขณะที่ให้ผู้พัฒนาหลักมุ่งเน้นไปที่การปรับปรุงเครื่องมือและหลีกเลี่ยงการเปิดเผยตัวโดยตรงระหว่างการโจมตี รายงานล่าสุดได้ติดตามพลวัตเดียวกันนี้ทั่วภูมิทัศน์ภัยคุกคาม รวมถึง รายงานของ Black Kite ปี 2026 ที่แสดงให้เห็นว่าแรนซัมแวร์โจมตีเหยื่อ 7,551 รายทั่วโลก ในปีที่แล้ว ซึ่งเป็นขนาดที่ทำได้สำเร็จผ่านโมเดลที่ขับเคลื่อนโดยพันธมิตรแบบนี้เท่านั้น

ทำไมลาตินอเมริกาถึงตกเป็นเป้าหมาย

การตัดสินใจของ Moondancer ที่จะกำหนดเป้าหมายแคมเปญการเกณฑ์พันธมิตรไปที่ลาตินอเมริกาโดยเฉพาะนั้นสอดคล้องกับแนวโน้มที่กว้างขึ้นในการเลือกภูมิภาคขยายตัวของกลุ่มแรนซัมแวร์ ผู้โจมตีมักจะมุ่งไปยังพื้นที่ที่การป้องกันความปลอดภัยทางไซเบอร์ยังพัฒนาไม่เต็มที่ การร่วมมือบังคับใช้กฎหมายท้องถิ่นในคดีอาชญากรรมไซเบอร์อาจช้ากว่า หรือความคุ้นเคยด้านภาษาและวัฒนธรรมทำให้พันธมิตรได้เปรียบในการสร้างเหยื่อล่อฟิชชิ่งที่น่าเชื่อถือและการเจรจากับเหยื่อในท้องถิ่น

การกำหนดเป้าหมายตามภูมิภาคนี้สะท้อนรูปแบบที่เห็นในที่อื่น กิจกรรมแรนซัมแวร์เพิ่มขึ้นทั่วโลก โดย การโจมตีพุ่งสูงขึ้น 87% เมื่อเทียบเป็นรายปี และธุรกิจในสเปนเพียงประเทศเดียวเผชิญการโจมตีเฉลี่ย 2,068 ครั้งต่อสัปดาห์ กลุ่มที่มองหาอาณาเขตใหม่และกลุ่มเหยื่อที่อิ่มตัวน้อยกว่ามองไปไกลกว่าอเมริกาเหนือและยุโรปตะวันตก และเศรษฐกิจดิจิทัลที่เติบโตของลาตินอเมริกาทำให้ภูมิภาคนี้เป็นเป้าหมายที่น่าสนใจสำหรับการขยายตัวแบบนี้โดยเฉพาะ

การประกาศต่อสาธารณะเกี่ยวกับการหลีกเลี่ยงเป้าหมายด้านการดูแลสุขภาพก็ควรจดบันทึกไว้เช่นกัน กลุ่มแรนซัมแวร์ต้องเผชิญกับผลกระทบด้านชื่อเสียงและการบังคับใช้กฎหมายอย่างมีนัยสำคัญหลังจากการโจมตีโรงพยาบาลที่ขัดขวางการดูแลผู้ป่วยในอดีต ด้วยการตัดขาดการโจมตีด้านการดูแลสุขภาพอย่างชัดเจน Moondancer ดูเหมือนจะพยายามลดความเข้มข้นของความสนใจจากการบังคับใช้กฎหมายระหว่างประเทศ ขณะที่ยังคงสร้างองค์กรอาชญากรรมที่สามารถส่งผลกระทบต่อธุรกิจ รัฐบาลท้องถิ่น และองค์กรอื่น ๆ ทั่วภูมิภาค

สิ่งนี้หมายถึงอะไรสำหรับคุณ

หากคุณดำเนินธุรกิจหรือจัดการโครงสร้างพื้นฐานด้านไอทีในลาตินอเมริกา การพัฒนานี้เป็นสัญญาณให้คุณทบทวนการป้องกันแรนซัมแวร์ของคุณตอนนี้แทนที่จะรอหลังจากเกิดเหตุการณ์ การโจมตีที่มาจากการเกณฑ์พันธมิตรมักจะเพิ่มขึ้นอย่างรวดเร็วเมื่อกลุ่ม RaaS สร้างเครือข่ายเสร็จสมบูรณ์แล้ว เนื่องจากพันธมิตรมากขึ้นหมายถึงการพยายามบุกรุกมากขึ้นที่เกิดขึ้นพร้อมกัน

สำหรับผู้ใช้รายบุคคล ความเสี่ยงนั้นตรงน้อยกว่าแต่ยังเกี่ยวข้อง พันธมิตรแรนซัมแวร์มักเข้าถึงระบบครั้งแรกผ่านอีเมลฟิชชิ่ง ข้อมูลประจำตัวการเข้าถึงระยะไกลที่ถูกบุกรุก หรือการดาวน์โหลดมัลแวร์ ซึ่งเป็นเทคนิคเดียวกับที่ใช้ในแคมเปญมัลแวร์อื่น ๆ รวมถึง ตัวติดตั้ง CCleaner ปลอมที่แพร่กระจายสปายแวร์ GhostDesk เมื่อเร็ว ๆ นี้ การใช้ความระมัดระวังกับการดาวน์โหลดและลิงก์ที่ไม่ได้รับการร้องขอยังคงเป็นหนึ่งในการป้องกันส่วนบุคคลที่มีประสิทธิภาพที่สุดต่อการกลายเป็นจุดเริ่มต้นสำหรับการบุกรุกองค์กรที่ใหญ่ขึ้น

ข้อควรปฏิบัติที่นำไปใช้ได้จริง

องค์กรในลาตินอเมริกา และที่อื่น ๆ ที่อาจเห็นกิจกรรมของ Moondancer ในที่สุด ควรให้ความสำคัญกับขั้นตอนที่เป็นรูปธรรมสองสามประการ ตรวจสอบให้แน่ใจว่าจุดเข้าถึงระยะไกล รวมถึง VPN และการเชื่อมต่อ RDP กำหนดให้มีการยืนยันตัวตนหลายปัจจัย เนื่องจากข้อมูลประจำตัวที่ถูกบุกรุกยังคงเป็นหนึ่งในเวกเตอร์เข้าที่พบบ่อยที่สุดสำหรับแรนซัมแวร์ที่ขับเคลื่อนโดยพันธมิตร เก็บสำรองข้อมูลสำคัญที่ทดสอบแล้วแบบออฟไลน์ เนื่องจากแผนการกู้คืนที่ใช้งานได้จะลดอำนาจต่อรองที่คำขอค่าไถ่ต้องพึ่งพา ฝึกอบรมพนักงานให้รู้จักการพยายามฟิชชิ่ง และเฝ้าติดตามกิจกรรมบัญชีที่ผิดปกติที่อาจบ่งบอกว่าพันธมิตรได้เข้าถึงระบบแล้ว

การเกิดขึ้นของแรนซัมแวร์ Moondancer เป็นเครื่องเตือนใจว่าโมเดลธุรกิจ RaaS ยังคงผลิตผู้เล่นหน้าใหม่ต่อไป โดยแต่ละรายมองหาภูมิภาคที่ยังไม่ได้รับการดูแลและเหยื่อรายใหม่ การติดตามข้อมูลเกี่ยวกับการเปลี่ยนแปลงเหล่านี้ และการปฏิบัติตามสุขอนามัยความปลอดภัยขั้นพื้นฐานก่อนที่การโจมตีจะเกิดขึ้น ยังคงเป็นวิธีที่น่าเชื่อถือที่สุดในการหลีกเลี่ยงการกลายเป็นส่วนหนึ่งของพาดหัวข่าวถัดไป