멕시코의 새로운 사이버보안 계획 평가

Executive Summary

멕시코는 최근 향후 10년 동안 시행될 새로운 국가 사이버보안 계획을 발표했습니다 . 제안된 계획은 조직 범죄, 지정학적 위협, 그리고 새롭게 부상하는 인공지능(AI) 위협을 포함하여 멕시코가 파악한 주요 사이버 보안 위협에 대응하기 위한 토대를 마련합니다. 이 계획은 멕시코의 연방, 주, 지방 기관 전반에 걸쳐 반복되는 사이버 공격으로 인해 데이터 도난, 랜섬웨어, 서비스 중단 및 기관 평판 손상 위험을 줄이기 위한 보다 coordinated된 국가적 대응의 필요성이 드러난 중요한 시점에 나왔습니다.

Insikt Group 2020년부터 2026년까지의 사이버 트렌드를 분석한 결과, 멕시코는 역사적으로 랜섬웨어, 금융 악성 소프트웨어 및 사기, 그리고 해킹 활동으로 인해 주로 피해를 입어온 것으로 나타났습니다. 데이터 탈취 및 절도, 조직 범죄 및 자금 세탁, 그리고 국가 지원 사이버 범죄 또한 상당한 위협으로 작용해 왔습니다. 정부, 의료 및 금융 부문은 사이버 위협 행위자 의 주요 표적이 되어 왔으며, 랜섬웨어는 멕시코 조직에 대한 가장 큰 위협으로 남아 있습니다. 멕시코는 미국과의 긴밀한 공급망 통합, 근거리 생산 중심의 제조 기반, 그리고 미흡한 사이버 거버넌스 체계로 인해 국가 지원 사이버 공격의 매력적인 표적으로 남아 있습니다.

멕시코는 개인 정보 유출 및 결제 카드 도난 피해자가 가장 많이 발생하는 세계 상위 5개국에 속합니다. 저희 연구 결과에 따르면 다크포럼(DarkForums)은 위협 행위자들이 멕시코를 겨냥한 사이버 공격을 논의하는 가장 인기 있는 다크웹 특별 접속 포럼입니다. 멕시코 마약 밀매 조직(DTO)들은 마약 판매 수익금을 세탁하기 위해 중국 자금 세탁 네트워크(CMLN)를 이용하는 것으로 알려져 있으며, 불법 자금의 흐름을 은폐하기 위해 암호화폐를 사용하고 체포를 피하기 위해 사이버 범죄 서비스를 의뢰하기도 합니다.

멕시코가 공동 개최하고 있는 2026 FIFA 월드컵은 관광객 증가와 국제적인 관심 속에서 멕시코가 운영을 유지하고 디지털 서비스에 접근할 수 있는 능력을 시험하는 첫 번째 시험대가 될 것입니다. 이러한 역동성에 직면하여 멕시코의 조직은 사이버 위협을 탐지하는 능력을 강화하고 우선 순위를 차지하는 위협을 강화하고 인시던트 대응 계획을 강화해야 합니다. 또한 직원과 일반 대중에게 기본적인 사이버 안전 교육을 실시하고, 사이버 공격 발생 시 신속하고 효과적으로 대응하는 방법에 대한 실질적인 이해를 높이는 데 중점을 두어야 합니다.

주요 연구 결과

멕시코의 사이버 보안 위상

2025년 12월 4일, 멕시코 디지털 전환 및 통신청(ATDT)은 멕시코의 2025~2030년 국가 사이버보안 계획(이하 "계획")을 발표했습니다. 이 계획은 오늘날의 위협 환경에 맞춰 멕시코 연방 사이버 정책을 업데이트하고, 보다 안전하고 회복력 있는 디지털 보안 정책 생태계를 구축하기 위한 것입니다. 이 계획 자체는 새로운 사이버 정책이나 법적 틀을 만들지는 않지만, 그러한 목표를 향한 진전을 이끌어갈 일련의 기준과 지표를 제시합니다. 궁극적으로, ATDT가 계획에서 주장하는 바와 같이, 이는 멕시코가 지역 사이버 리더가 되려는 시도입니다. 멕시코는 국제전기통신연합(ITU)의 2024년 글로벌 사이버보안 지수 에서 "2등급" 국가로 선정되었으며, 캐나다, 에콰도르, 우루과이와 함께 라틴 아메리카 국가 중 상위권에 속하여 사이버보안에 대한 강력한 의지를 보여주었습니다(미주 지역에서 1등급에 선정된 국가는 브라질과 미국뿐입니다). 하지만 ITU는 국제 협력을 성장 분야로 보고 있으며, 사이버 전문가들은 일반적으로 멕시코가 제도적 역량 구축 측면에서 국제 기준에 뒤처져 있다고 인식하고 있습니다. ATDT는 이 계획이 시행되면 "멕시코를 지역 사이버 보안의 최전선에 올려놓아 자국의 디지털 자산과 국민을 보호할 뿐만 아니라 라틴 아메리카 및 카리브해 지역의 사이버 보안 강화에도 기여할 것"이라고 주장합니다.

이번 계획은 멕시코의 사이버 보안에 있어 매우 중요한 시기에 발표되었습니다. 최근 발생한 여러 건의 대규모 사이버 공격으로 인해 더욱 강력한 복원력과 협력 체계가 필요하다는 점이 부각되었기 때문입니다. 최근 몇 년 동안 연방 기관들은 심각한 침해와 업무 중단 사태에 직면해 왔습니다. 여기에는 2022년 멕시코 국방부(SEDENA)의 민감한 파일 유출 사건 , 2022년 인프라·통신·교통부(SICT)에 대한 랜섬웨어 공격 , 2023년 멕시코 국립수자원위원회(CONAGUA)에 대한 블랙바이트 랜섬웨어 공격 , 그리고 2024년 대통령 법률고문실에 영향을 미친 랜섬허브 공격 등이 포함됩니다. 멕시코시티 정부 이메일이 유출된 2024년 사례와 유카탄의 Va y Ven 대중교통 시스템 침입 사건(2025년)을 포함하여, 국가 및 지방 기관들도 해킹 피해를 입었거나 입은 것으로 보고되고 있습니다. 이러한 사례들은 멕시코의 사이버 위험이 특정 기관이나 부문에만 국한되지 않으며, 파편화되고 조정되지 않은 국가적 대응 역량으로 인해 공공기관이 데이터 도난, 서비스 중단, 랜섬웨어 공격 및 평판 손상에 취약해질 수 있음을 보여줍니다.

멕시코의 2025~2030년 국가 사이버보안 계획은 향후 6년간 국가의 사이버 역량을 점진적이고 단계적으로 강화하는 방안을 제시하고 있습니다. 여기에는 다음이 포함됩니다.

이 글을 쓰는 시점에서 공개된 정보에 따르면 2025년 기초 단계에서 제시된 활동들은 모두 완료되었습니다. 그러나 Insikt Group 2026년 확장 단계의 주요 구성 요소에 대한 진행 상황을 확인할 수 있는 충분한 공개 자료를 찾지 못했습니다. 예를 들어, 집권당인 모레나(MORENA) 소속의 헤수스 루시아 트라스비냐 발덴라트 상원의원은 2026년 1월 사이버 보안 협력을 촉진하는 법안을 제출했지만 , 이 제안이 계획에 명시된 일반 사이버 보안법과 관련이 있는지는 불분명합니다. 아직 표결에 부쳐지지 않았으며, Insikt Group 이 글을 쓰는 시점까지 다른 입법 제안을 확인하지 못했습니다. 마찬가지로, Insikt Group 연방 공무원을 대상으로 하는 광범위한 사이버 교육 프로그램("APF Cibersegura", 2026년 2분기 출시 예정)이나 정부 공무원을 위한 가상 교육 아카데미 온라인 플랫폼 구축 계획(2026년 2분기 운영 예정)이 계획대로 시행되었는지 여부를 확인할 수 없습니다.

이 계획의 시기는 멕시코의 현재 고조된 국제적 가시성 및 노출 상황을 고려할 때 매우 중요합니다. 2026년 6월 11일에 개막하여 캐나다, 멕시코, 미국에서 공동 개최 되는 2026 FIFA 월드컵은 멕시코의 디지털 인프라, 공공 서비스, 교통 시스템, 통신망, 티켓 판매 플랫폼, 호텔 및 요식업계, 지방 정부 시스템에 전례 없는 부담과 면밀한 검토를 초래할 것입니다. 멕시코의 세 개최 도시인 멕시코시티, 과달라하라, 몬테레이는 국제 방문객, 언론 보도, 상업 활동 및 공공 보안 작전의 중심지가 될 것이므로, 혼란, 금전적 이득 또는 평판 악화를 노리는 사이버 범죄자, 해커 활동가, 그리고 잠재적으로 국가 지원을 받는 행위자들에게 매력적인 공격 대상이 될 것입니다. Insikt Group 2024년 파리 올림픽 과 2022년 카타르 FIFA 월드컵 과 같은 주요 스포츠 행사에 대한 이전 연구에서 보여준 바와 같이, 이러한 대규모 인파는 랜섬웨어를 이용해 중요 부문을 공격하는 사이버 범죄자, 지정학적 갈등으로 인해 혼란을 야기하려는 해커, 국가 지원을 받는 스파이 및 영향력 행사 공작원, 그리고 범죄 조직 및 극단주의 단체의 물리적 안전 위협 등 다양한 공격 대상이 될 가능성이 높습니다. 2024년 올림픽 기간 동안 Insikt Group 중국 정부의 지원을 받는 사이버 조직 레드리마가 특정 참가자 또는 올림픽 관련 단체를 대상으로 기회주의적인 사이버 스파이 활동을 벌인 여러 사례를 확인했습니다.

이 계획은 멕시코가 수년간 국가 사이버 보안 정책을 구체화하기 위해 기울여온 노력의 결실입니다. 멕시코는 2017년에 국가 사이버보안 전략을 발표했는데, 일부 비평가들은 사이버 위협 대응보다 디지털 권리를 우선시하고 명확성과 제도적 조율이 부족하다고 지적했지만, 이는 올바른 방향으로 나아가는 한 걸음으로 널리 환영받았습니다 . 하지만 이 지침은 엔리케 페냐 니에토 전 대통령의 2012~2018년 임기 말에 발표되었기 때문에, 그 시행은 사실상 2017년 대선에 밀려났다. 페냐 니에토의 후임자인 안드레스 마누엘 로페스 오브라도르는 6년 임기 동안 사이버 정책을 크게 후순위로 두었고, 이 문제는 현 대통령인 클라우디아 셰인바움이 2024년에 취임할 때까지 잠잠한 상태로 남아 있었습니다.

그 결과, 멕시코는 국가방위군 산하에 멕시코 기관에 영향을 미치는 사이버 위협을 예방, 완화 및 대응하는 국가 대응 기구인 CERT-MX를 보유하고 있음에도 불구하고, 국가 사이버 보안 전략 없이 셰인바움 행정부에 들어갔습니다. 이 밖에도 멕시코에는 국방장관 산하 인시던트 응답팀(SEDENA-CSIRT)과 해군의 인시던트 응답팀인 CSIRT-SEMAR 등 군 CSIRT가 있다. 이들은 멕시코 국방 및 군사 생태계 내에서 사이버 위협을 식별, 관리 및 대응하는 데 중점을 둔 분야별 팀입니다. 멕시코는 이번 계획 발표를 통해 더욱 강력한 협력과 공통 기준을 장려하고, 연방 기관을 지원하는 단일하고 통합된 민간 메커니즘을 구축하고자 합니다.

위협 분석

제안된 국가 사이버보안 계획은 멕시코에 대한 세 가지 주요 사이버보안 위협으로 조직범죄, 지정학적 위협, 그리고 새롭게 부상하는 인공지능(AI) 위협을 지목합니다. 이 계획은 사이버 위협 행위자 및 국가 지원 그룹, 산업 및 정부 스파이 활동, 중요 기반 시설 표적화, 선거 중 허위 정보 유포, 해킹 활동, 그리고 사이버 범죄자들이 사기, 자동화 및 공격 확대, 그리고 및 보안 제어 회피를 위해 피싱 및 딥페이크와 같은 계획을 발전시키는 데 활용할 수 있는 AI 의 광범위한 접근성으로 인한 위협을 인정합니다. Insikt Group 2020년 이후 멕시코의 사이버 환경에 대한 추가 연구를 수행했으며, 이는 이러한 결과를 뒷받침하고 추가적인 통찰력을 제공합니다. 우리는 사이버 범죄 환경이 국가 지원 활동, 랜섬웨어, 금융 악성 소프트웨어 및 사기, 데이터 및 절도, 해킹 활동, 조직 범죄 및 자금 세탁이라는 6가지 지속적인 추세로 정의된다고 생각합니다. 멕시코에 영향을 미치는 사이버 공격의 대부분은 금전적 동기에서 비롯된 것으로 보입니다. 멕시코는 중남미에서 가장 주목받는 국가 중 하나이며, 이 지역에서 두 번째로 큰 경제 규모를 자랑합니다. 정부, 의료 및 금융 부문이 큰 타격을 입었습니다. 이번 10년은 공격 빈도의 꾸준한 증가, Victimology 광범위한 발전, 그리고 작전상 영향력의 확대로 특징지어집니다. 멕시코가 제안한 사이버 보안 계획은 우리가 파악한 주요 위협인 랜섬웨어에 대비하기 위한 구체적인 조치를 명시하고 있습니다.

Ransomware, 금융 악성 소프트웨어, 다크웹 데이터 판매는 현재 진행형인 사이버 위험의 사례입니다. 멕시코 공공 부문은 기존 시스템에 대한 과도한 의존, 불충분한 사이버 보안 수준, 그리고 개인 식별 정보(PII)와 같은 중요하고 민감한 데이터가 집중되어 있다는 점 때문에 지속적으로 공격 대상이 되어 왔습니다. Insikt Group 멕시코 주 정부, 지방 자치 단체, 민사 등록 기관 및 공공 시설에 영향을 미치는 '용기'에 대한 수많은 언급을 확인했습니다. 금융 부문은 여러 측면에서 고유한 위험에 직면해 있는데, 위협 행위자들이 초기 접근 권한을 확보하기 위해 기업과 소비자 모두를 직접적으로 표적으로 삼고 있기 때문입니다. 멕시코는 지정학적으로 민감한 사이버 침입과 해킹으로 인한 문서 유출을 경험하기도 했습니다.

위협 행위자들은 기회주의적이며, 종종 기술적, 심리적, 조직적 약점을 악용하려 합니다. 사회적, 정치적 긴장이 고조되는 시기에는 주의력이 분산되고 업무 균형을 맞추기가 어려워지며, 그 결과 보안 경계 태세가 약화될 수 있습니다. 보안팀은 업무 과부하에 시달리거나 다른 업무로 재배치될 수 있으며, 이로 인해 탐지 능력에 공백이 생길 가능성이 있습니다. 팀원들의 감정이 고조될 수도 있으며, 이는 위협 행위자들이 임박한 긴박감과 정보에 대한 수요 증가를 악용할 수 있게 해줍니다. 위협 행위자 공공 위기 상황 중에 표적 사이버 공격을 계획할 수 있는데, 이는 운영 중단이나 지연이 소요 사태 관련 영향으로 오인되어 공격자 추적이 어려워지고, 그 속에 섞여들 수 있기 때문입니다.

2017년 국가 사이버보안 전략이 실현되지 못했고, 그 이행 상황에 대한 업데이트도 전혀 제공되지 않았다는 점을 고려할 때, 이번에 제안된 국가 사이버보안 계획은 그 비전을 실현하는 데 있어 이미 훨씬 더 큰 진전을 이룬 것으로 볼 수 있습니다.

국가 지원 활동

Insikt Group 멕시코가 미국과의 긴밀한 통합, 니어쇼어링과 연계된 제조 기반, 그리고 미발달된 사이버 거버넌스로 인해 국가 지원 사이버 활동의 매력적인 표적이라고 평가합니다. 최근 몇 년 동안 멕시코에서는 국가 지원 활동으로 인해 여러 건의 사건이 발생했으며, 여기에는 귀중한 통신 연구 데이터와 지적 재산을 획득하려는 목적으로 추정되는 중국 정부의 지원 활동도 포함됩니다. 2025년 2월, Insikt Group TAG-141(FamousSparrow)이 멕시코 국립 자치 대학교(Universidad Nacional Autónoma)에 SparrowDoor 멀웨어를 배포했다고 밝혔 는데, 이는 통신, 엔지니어링 및 기술 관련 분야의 연구에 접근하기 위한 계획의 일환이었을 가능성이 높습니다. Insikt Group TAG-141이 2022년까지 거슬러 올라가 연구기관을 표적으로 삼은 추가 사례를 발견했습니다. 또한, 아시아와 연관된 TGR-STA-1030은 최소 70개의 정부 및 중요 기반 시설 기관을 표적으로 삼아 사이버 스파이 활동을 벌인 것으로 관찰되었으며, 멕시코의 두 개 부처가 공격을 받은 것으로 알려졌는데 , 이는 국제 무역 발표 때문인 것으로 추정됩니다. 멕시코 또한 북한이 후원하는 원격 IT 인력 배치 계획 의 대상이 되어 왔으며, 2025년 1월에는 한 멕시코 국적자가 북한에 수익을 창출하기 위해 여러 미국 및 유럽 기업을 대상으로 한 계획을 조장한 혐의로 기소되었습니다.

결론적으로, 국가 사이버보안 계획은 지정학적 긴장이 정부와 기업의 사이버 스파이 행위 위험을 증가시킨다는 점을 인정하면서도, 연방 및 주 정부 간 협력, 중요 기반 시설 보호, 그리고 인시던트 대응의 필요성을 강조하는 것 외에는 외국과 연계된 사이버 위협에 대처하기 위한 구체적인 계획에 대해서는 자세한 내용을 제시하지 않고 있다.

랜섬웨어(Ransomware)

Insikt Group 랜섬웨어가 멕시코에서 사업을 운영하는 조직에 가장 큰 위협이라고 평가합니다. 섬웨어 공격은 몸값 지불 및 조치 비용부터 평판 및 브랜드 손상에 이르기까지 기업에 상당한 재정적 부담을 가하며 심지어 고객 손실을 초래할 수도 있습니다. ATDT는 멕시코가 라틴 아메리카에서 브라질에 이어 두 번째로 많은 랜섬웨어 피해자를 보유하고 있다고 보고했으며 , 2019년 11월부터 2025년 9월까지 155명의 피해자가 확인되었고, 그중 16명은 공식 출처를 통해, 5명은 비공식 출처를 통해 공개되었다고 밝혔습니다. 계획에 따르면 사이버 보안 관련 정보 출처에는 멕시코 중앙은행(Banxico)의 공식 발표, 기자 회견 및 공개 보고서가 포함됩니다. 하지만 이 계획에는 국제 사법 당국에 의해 해체된 랜섬웨어 그룹(예: Maze, Conti, Hive)의 피해자에 대한 언급은 없습니다.

2020년 1월부터 2026년 4월까지 Insikt Group 멕시코 전역에서 64개 랜섬웨어 그룹과 100명 이상의 피해자를 발생시킨 223건의 랜섬웨어 인시던트(insidontr)를 확인하고 기록했습니다. 저희 Victimology 분석표에 수집된 데이터에는 관련 랜섬웨어 블로그에 게시된 공개적으로 알려진 모든 랜섬웨어 피해자 목록이 포함되어 있습니다. 그림 1 에서 볼 수 있듯이, 이번 10년 동안 멕시코에 영향을 미친 주요 랜섬웨어 그룹은 LockBit Gang(BITWISE SPIDER, DEV-0396, Flighty Scorpius), Qilin(Agenda), CL0P(FANCYCAT), Kazu 및 ALPHV(BlackCat)입니다. 그림 2 에서 볼 수 있듯이 가장 큰 영향을 받은 산업은 정부, 제조업, 정보 기술, 식품 및 음료였습니다.

멕시코에서 활동하는 주요 랜섬웨어 그룹들의 공격 빈도를 나타내는 선 그래프로, LockBit Gang이 가장 높은 공격 빈도를 보였고, 그 뒤를 Qilin, CL0P, Kazu, ALPHV가 이었다.
그림 1: 2025년 멕시코에 영향을 미칠 상위 5개 랜섬웨어 그룹 (출처: Recorded Future)
정부(미국 외), 제조업, 정보 기술, 식품 및 음료, 전문 서비스 산업에 대한 랜섬웨어의 영향을 나타내는 선 그래프.
그림 2: 2025년 멕시코에서 랜섬웨어 그룹의 영향을 가장 많이 받는 5대 산업 (출처: Recorded Future)

광범위하게 퍼진 랜섬웨어 프로그램은 정부 기반 시설 및 기타 필수 서비스 제공업체에 심각한 영향을 미쳤습니다. LockBit은 멕시코에서 총 61번의 랜섬웨어 살해를 가장 많이 수행한 확실한 리더였습니다. 하지만 2024년 초, LockBit 운영업체와 관련 인프라는 미국, 영국 및 기타 국제 법 집행 기관의 '크로노스 작전' 에 의해 운영이 중단 되었습니다.

2026년 3월, 미국에 기반을 둔 싱크탱크인 안보기술연구소(IST)는 멕시코의 핵심 기반 시설과 디지털 경제에 대한 랜섬웨어 위협 증가에 대응하기 위해 멕시코 Ransomware 태스크포스를 출범시켰습니다 . 이는 제안된 계획에 명시된 목표, 즉 랜섬웨어 모니터링 및 완화와 상당 부분 일치합니다. 멕시코 Ransomware 태스크포스의 네 가지 핵심 활동은 억제, 교란, 대비, 그리고 대응입니다.

금융 악성코드 및 사기

Insikt Group 멕시코에서 금융 악성 소프트웨어와 사기가 여전히 주요 문제로 남아 있음을 발견했습니다. 이 계획은 이러한 증가하는 위협을 완화하기 위한 직접적인 해결책을 명시적으로 제시하지는 않지만, AI 딥페이크의 증가와 사이버 보안 솔루션 및 인재에 대한 투자 증대의 중요성을 인정하고 있습니다. 이 계획은 2026년 FIFA 월드컵이 주요 국제 행사임을 인식하고 있으며, 따라서 멕시코는 월드컵 개최와 관련된 중요 기반 시설, 필수 서비스, 금융 시스템, 온라인 플랫폼 및 기타 기술 자산의 디지털 보안을 보장해야 합니다. 이 계획은 또한 인적 역량 개발과 사이버 보안 문화를 증진하기 위한 여러 프로젝트를 제안하고 있으며, 여기에는 일반 대중을 대상으로 피싱, 소셜 엔지니어링, 딥페이크와 같은 일상적인 위험에 대해 알리고 소셜 미디어에서의 데이터 보호 및 디지털 금융 서비스의 안전한 사용에 대해 교육하는 국가 사이버 보안 인식 캠페인 도입이 포함됩니다.

Insikt Group의 "2025년 연말 결산: 악성 인프라" 보고서 에 따르면 멕시코는 정보 탈취범의 피해가 가장 많은 상위 5개국에 속했습니다. 2025년에는 고유 피해자 수를 기준으로 AsyncRAT, DanaBot, KV-Botnet이 각각 상위 3대 악성코드 패밀리로 선정되었으며, 멕시코에서는 DanaBot, Beavertail, LummaC2가 관찰된 감염 사례에서 선두를 차지했습니다. 멕시코는 2026년 1분기에 약 162,000건의 기록이 등록되어 라틴 아메리카 다크웹에서 도난 카드 발급 건수 상위 5위 안에 들었습니다. 2025년 멕시코에서는 약 78만 장의 결제 카드가 다크웹에 노출될 것으로 예상됩니다. Insikt Group 이러한 현상이 멕시코의 많은 인구와 역내 두 번째로 큰 경제 규모로 인해 매력적인 투자 대상이 되었기 때문일 수 있다고 분석합니다.

2022년부터 활동해 온 Fenix 봇넷은 2024년부터 정부 서비스 사용자, 특히 멕시코의
납세자를 대상으로 공격을 시작했습니다. Insikt Group 해당 봇넷이 국세청(SAT) 및 국세청(SII)과 같은 공식 정부 포털을 사칭하여 세금 신고 기간을 악용하는 경우가 많다는 사실을 발견했습니다. Fenix 봇넷 인프라는 두 계층으로 구성됩니다. 1계층은 페이로드 전달, C2(지휘 및 통제), 그리고 제어판 호스팅을 담당하고, 2계층은 데이터 수집 및 관리를 위한 "중앙 서버"로 추정됩니다. 운영자들은 지역적 전문성을 활용하고, 더 광범위한 사이버 범죄 생태계(예: 랜섬웨어 관련 조직)와 협력하여 초기 접근 권한을 판매하여 수익을 올리는 것으로 보입니다.

Insikt Group 멕시코에서 은행 부문, 핀테크 플랫폼 및 개인 소비자를 대상으로 하는 지속적이고 금전적 동기가 있는 악성 소프트웨어 공격을 관찰했습니다. 지난 몇 년간 가장 활발하게 활동한 뱅킹 트로이목마 중에는 Mispadu, Grandoreiro, Casabaneiro(Mekotio) 등이 있습니다. 2024년에는 미스파두 스틸러의 변종이 멕시코의 금융 및 암호화폐 기관을 표적으로 삼았습니다. 그란도레이로는 적어도 2020년, 세계적인 코로나19 팬데믹이 시작될 무렵부터 멕시코에서 피해자들을 표적으로 삼는 것으로 관찰되어 왔습니다. 2022년에 Grandoreiro 변종이 향상된 회피 TTPs 활용하는 것이 관찰되었으며 키로깅, 자체 업데이트 자동 적용, 웹 삽입, 명령 실행, 데스크톱 창 조작, 피해자를 악의적인 URL로 유인, 마우스 또는 키보드 움직임 모방, 도메인 생성 알고리즘(DGA)을 통한 C2 도메인 생성 등 여러 가지 새로운 기능을 가지고 있었습니다. 해당 피싱 캠페인에서 공격자들은 정부 공무원을 사칭하거나 주택 담보 대출을 언급했습니다. 2024년 Casabaneiro(Mekotio)는 멕시코를 포함한 여러 라틴 아메리카 국가의 금융 시스템을 표적으로 삼는 것으로 관찰되었으며, 은행 자격 확인을 위한 가짜 은행 팝업을 생성하고, 스크린샷을 캡처하고, 키 입력을 기록하고, 클립보드 데이터에 접근하는 기능을 보여주었습니다.

데이터와 도난

이 계획은 데이터 유출 및 절도가 멕시코에 미치는 위협을 강조하며, 특히 랜섬웨어 그룹 활동에 초점을 맞추고 있습니다. 하지만 많은 개별 위협 행위자들은 랜섬웨어나 협박 전술에 의존하지 않고 시스템을 침해하고 유출된 데이터를 판매합니다. 이러한 데이터는 종종 유통, 재활용 및 재판매되어 이익을 창출합니다.

Insikt Group Recorded Future 정보 작전 플랫폼을 활용하여 2020년 1월부터 2026년 4월 사이에 멕시코가 사이버 공격의 표적이 되었다고 판단되었을 때 다크웹 특수 접근 포럼에 게시된 글이 거의 500건 발견되었다고 밝혔습니다. 이러한 참조 자료는 26개 산업 분야와 308개의 고유한 사용자 이름을 포괄합니다. 멕시코의 정보 유출자를 대상으로 위협 행위자 사용한 가장 인기 있는 다크웹 특수 접근 포럼은 DarkForums였으며, 그 다음으로는 BreachForums 2, Altenen Forum, Leakbase Forum(압수됨), T00ls Forum 순이었습니다. 이러한 포럼들은 접근성이 용이하고 도난당한 데이터를 유출하거나 판매하는 데 흔히 사용되기 때문에 저급 포럼으로 간주됩니다.

멕시코는 최근 몇 년 동안 유명 인사들의 데이터 유출 사건을 여러 차례 경험했습니다. 2024년에는 300명이 넘는 기자들의 대통령 언론 시스템에서 데이터가 유출되었습니다(1, 2, 3). 2026년 2월, 국가보험보증위원회(CNSF)는 공식 공지를 통해 신원 미상의 위협 행위자가 무단으로 접근하여 중개업체 ID 자격 증명이 노출되었다고 발표했습니다. Insikt Group Recorded Future 정보 작전 플랫폼을 사용하여, 이 데이터를 유출했다고 주장하는 'adrxx'라는 이름의 위협 행위자 실행자가 DarkForums에 올린 다크웹 게시물을 확인했습니다. 2025년, 위협 행위자 "Mexicnon"은 최고 수준의 익스플로잇 포럼에서 멕시코에서 발행된 결제 카드 23,000장을 경매에 부쳤습니다.

핵티비즘

미국과 나머지 라틴 아메리카 국가들 사이에 위치한 멕시코는 지리적 특성상 독특한 지정학적 위험에 노출되어 있습니다. 이 계획에서 식별된 위협에는 정부 및 산업 스파이 행위, 중요 기반 시설 공격, 선거 기간 중 허위 정보 및 오도 캠페인, 정치적 동기를 가진 해킹 행위 등이 포함됩니다.

Insikt Group 최근 몇 년간 멕시코에 영향을 미치는 해커 활동 트렌드를 파악했습니다. 해킹 활동가 집단인 크로누스 팀은 2025년 말에 등장했으며, 주로 라틴 아메리카, 특히 멕시코, 아르헨티나, 브라질, 볼리비아의 기관들을 표적으로 삼았습니다. 2026년 초 현재, 해당 해커 집단은 멕시코의 교육, 보험, 법 집행, 의료 및 정부 부문을 포함한 공공 기관에 영향을 미치는 중요한 데이터 유출 사건에 대한 책임을 주장했습니다. 이들의 활동 방식에는 웹사이트 변조, 텔레그램 채널을 통한 데이터 유출, 그리고 관심을 끌고 평판을 높이기 위해 다른 해커 집단 및 범죄 조직과 느슨하게 연계하는 것이 포함됩니다. 이 집단의 표적 설정 방식은 언론의 관심을 끌기 위한 목적도 있는데, 이는 그들의 능력을 과장하여 공포, 불확실성, 의심(FUD)을 확산시키는 결과를 초래할 수 있습니다. 크로너스 팀은 보안 취약점을 드러내는 동시에 독점 데이터 판매 및 제공을 통해 금전적 동기를 입증하고자 한다고 주장합니다. 해당 그룹은 2026년 3월 멕시칸 마피아 팀과 합병하여 "크로너스 마피아"를 결성하는 구조적 변화를 겪었으며, 이는 운영 범위 확장을 반영한 것입니다. 일반적인 전술로는 소셜 엔지니어링, 피싱, 그리고 여러 분야에 걸쳐 취약한 보안 프로토콜을 악용하는 것 등이 있습니다. 전반적으로 크로누스 팀의 활동은 급변하는 라틴 아메리카 사이버 위협 환경 속에서 해킹 활동과 금전적 동기가 있는 사이버 범죄가 결합된 양상을 보여줍니다. 또 다른 해킹 단체인 과카마야(Guacamaya)는 위에서 언급한 바와 같이 2022년 멕시코 국방부를 공격했습니다. 그 단체는 환경 파괴와 라틴 아메리카 원주민 억압에 기여하는지 여부를 기준으로 목표를 설정했습니다.

조직범죄와 자금세탁

이 계획은 조직적인 사이버 범죄를 멕시코 사이버 안보에 대한 중대한 위협으로 규정했습니다. 이 계획은 이러한 위협에 맞서 싸우는 데 있어 국가방위군의 새로운 역할을 인정하면서 연방 기관에 영향을 미치는 사이버 공격을 예방, 탐지, 분석 및 대응하기 위한 전담 민간 솔루션으로 CSOC(국가 사이버 보안 작전 센터[SOC])와
국가 APF CSIRT(CSIRT-APF)의 설립을 제안합니다. 이 계획에서 멕시코의 데이터 처리 조직(DTO)이 명시적으로 언급되지는 않았지만, 우리는 DTO 구성원들이 법 집행 기관과 협력 하는 정보원을 감시, 협박, 심지어 살해하기 위해 사이버 범죄 서비스를 이용해 왔으며 앞으로도 계속 이용할 것으로 판단합니다.

중국의 자본 유출 제한은 CMLN과 멕시코 DTO가 활용할 수 있는 기회를 만들어냈습니다. 2024년 TRM 랩스는 악명 높은 시날로아 카르텔 계열 조직원이 암호화폐를 이용해 마약 수익금을 세탁했다고 보고했습니다 . 미국 정부가 주도한 '포춘 러너 작전'을 통해 이러한 범죄 활동에 가담한 수많은 사람들이 기소되고 체포되었습니다.

중국에서 원료 화학물질과 알약을 공급받아 멕시코에서 펜타닐을 제조하고, 육로와 해로를 통해 미국으로 밀수하고, 지역 범죄 조직과 소셜 미디어를 통해 펜타닐을 유통한 후, 현금, 상품 및 암호화폐를 통해 수익을 세탁하는 과정을 보여주는 흐름도입니다. 중국과 멕시코
그림 3: 전 세계 펜타닐 공급망의 단계별 개요를 보여주는 그림으로, 불법 약물이 궁극적으로 어떻게 자금 세탁되는지를 나타냅니다. (출처: 마약단속국)

멕시코 마약 조직(DTO)들이 불법 마약 수익금을 세탁하기 위해 마약 밀매 조직(CMLN)을 이용하는 것으로 드러났 습니다. 결과적으로 중국 자금 브로커들은 시날로아 카르텔이나 할리스코 신세대 카르텔(CJNG)과 같은 초국가적 범죄 조직이 장악한 지역에 오랫동안 자리 잡고 있으며, 두 조직 모두의 자금 세탁을 용이하게 해왔습니다. CMLN은 중국의 조직원들이 고가 상품(전자제품, 보석, 의류 등)을 구매하여 멕시코로 보내고, 이를 판매하여 DTO(분산형 마약 조직)에 합법적인 수익금(현지 페소)을 제공하는 무역 기반 시스템을 사용합니다. 이 방법은 멕시코의 2010년 자금세탁 방지(AML) 규정 이후 인기를 얻었는데, 이 규정은 미화 현금 예금에 제한을 두어 자금세탁 조직(DTO)들이 중국 지하 금융 시스템(CUBS)이 구축한 비공식 경제에 의존하게 되었고, 결과적으로 이러한 자금세탁 네트워크(CLMN)에 대한 의존도가 높아졌습니다.

완화 조치

멕시코의 국가 사이버보안 계획은 국가의 사이버 복원력을 강화하는 데 중요한 토대를 제공합니다. 멕시코가 지역 사이버 보안 허브로 부상하고자 하는 가운데, 현재 3개 도시에서 2026 FIFA 월드컵을 공동 개최하고 있는 상황에서, 이 계획의 전략적 비전은 연방 기관, 중요 인프라 운영자, 주 및 지방 정부, 민간 부문 조직, 그리고 개인들이 사이버 위험을 줄이는 데 사용할 수 있는 새로운 도구를 제공함으로써 멕시코에서 사업을 운영하는 조직들에게 잠재적으로 도움이 될 수 있습니다. 하지만 멕시코는 국가 지원 활동, 랜섬웨어, 금융 악성 소프트웨어, 데이터 탈취, 해킹 활동 및 조직 범죄와 같은 특정 위협에 직면해 있다는 것이 분명합니다. 잠재적인 기회와 위협을 모두 고려하여, Insikt Group 멕시코에서 사업을 운영하는 조직들이 다음과 같은 완화 조치를 고려할 것을 권장합니다.

전망

2026년 FIFA 월드컵은 멕시코의 사이버 복원력을 시험하는 초기 시험대가 될 것이며, 국가 사이버보안 계획의 실행에 중요한 정보를 제공할 것으로 예상됩니다. 멕시코는 멕시코시티, 과달라하라, 몬테레이에서 경기를 개최하면서 정부 시스템, 공항, 경기장 운영, 교통망, 호텔, 통신 사업자, 결제 시스템 및 대중에게 제공되는 디지털 서비스에 대한 면밀한 감시를 받고 있습니다. 이번 대회는 랜섬웨어 그룹, 해커, 사기꾼, 증거, 정보 도둑, 그리고 금전적 이득이나 혼란을 추구하는 허위 정보 네트워크에게 공격하기 좋은 환경을 조성하기 때문에 대회 관련 사이버 위험이 높아질 가능성이 큽니다( Insikt Group의 2026 FIFA 월드컵 위협 평가 참조). 만약 사이버 공격이 발생한다면, 이는 멕시코의 사이버 보안에 대한 공론화에 영향을 미치고, 국제 사회의 관심을 더욱 끌어내어 인식되는 보안 허점을 부각시킬 가능성이 높습니다.

이는 매우 중요한 의미를 지니는데, 향후 몇 달 안에 멕시코가 계획 수립 단계에서 실행 단계로 넘어갈 가능성이 매우 높기 때문입니다. 이 계획은 사이버 협력 강화를 위한 청사진을 제공하지만, 그 실행은 집권 여당인 국민재생운동(MORENA)과 그 동맹 정당들이 2026년에 제출할 예정인 연방 사이버보안법에 크게 좌우될 것이다. 이 계획에 따르면, 법률은 계획에 명시된 비전을 실행하는 데 필요한 법적 의무, 제도적 권한 및 규제 메커니즘을 규정할 것입니다. 입법 과정이 진행됨에 따라 논쟁은 국가 사이버 보안 당국의 권한, 개인정보 보호 문제, 민간 부문의 규정 준수 의무 및 데이터 보호 영향에 집중될 가능성이 높습니다. 설령 2026년에 법이 통과된다 하더라도, 멕시코 통신규제청(ATDT)과 같은 기관들이 보다 상세한 규정을 발표하고 준수를 보장하는 데 필요한 제도적 틀을 구축함에 따라 시행은 수년에 걸쳐 점진적으로 이루어질 가능성이 높습니다. 이는 계획안에서도 명확히 밝히고 있습니다.

더 나아가 미국과 멕시코 간의 안보 협력이 심화됨에 따라 멕시코의 사이버 위험 환경은 더욱 엄격한 국제적 감시를 받게 될 가능성이 높습니다. 최근 몇 년 동안 워싱턴은 멕시코 정부와 안보 문제에 대한 협력을 확대하려고 노력해 왔으며, 특히 조직 범죄 및 불법 마약 거래와의 전쟁에 중점을 두었습니다. 하지만 사이버 보안 문제 또한 이러한 지속적인 안보 논의에서 중요한 부분을 차지하게 되었고, 그 결과 2022년에는 미국-멕시코 사이버 문제 실무 그룹이 설립되었습니다. 양국이 안보 정책 협력 방안을 모색함에 따라 사이버 안보는 양국 관계의 핵심 축으로서 더욱 중요한 위치를 차지하게 될 것이 거의 확실하다. 멕시코가 이 계획을 이행하고 사이버 복원력을 구축하는 능력은 멕시코의 국내 사이버 안보 태세뿐만 아니라 미국의 안보, 무역 및 기술 파트너로서의 신뢰도에도 영향을 미칠 것입니다.

사이버 보안 전략을 강화하기 위한 전문가 인사이트, 보고서 및 도구를 살펴보세요.

/research/latin-america-and-the-caribbean-cybercrime-landscape
/research/2026-fifa-world-cup-threats
/research/latin-american-governments-targeted-by-ransomware
모든 리소스 보기