La Agencia de Seguridad de Ciberseguridad e Infraestructura (CISA) de Estados Unidos ha informado de que el grupo de ransomware SafePay ha vulnerado a más de 600 organizaciones de infraestructura crítica en todo el mundo desde 2024. La advertencia se recoge en un informe conjunto con el FBI, el Servicio Secreto estadounidense (USSS), la Oficina de Investigación Criminal de Renania-Palatinado (Alemania) y la Agencia Nacional contra el Crimen y la Unidad Regional contra el Crimen Organizado del Noroeste del Reino Unido.
Las agencias firmantes subrayan que abonar el rescate no asegura la recuperación de los archivos cifrados en un ataque de ransomware e instan a las víctimas a denunciar los incidentes a las autoridades. Según la CISA, SafePay es uno de los grupos de ransomware más activos y ha afectado a empresas e infraestructuras críticas de Norteamérica, Sudamérica, Europa y Australia, incluidas al menos 600 organizaciones de múltiples sectores de infraestructura crítica desde agosto de 2024.
Los actores de amenaza de SafePay obtienen acceso inicial por diversos medios, como la exposición de credenciales, ataques de fuerza bruta contra contraseñas y la explotación del acceso a redes privadas virtuales (VPN), en particular las direcciones IP del proveedor de VPN 'Mullvad'.
Los organismos que firman el informe aconsejan a los defensores de redes reforzar sus entornos restringiendo las herramientas y privilegios administrativos para frenar el movimiento lateral tras un compromiso, e implantando autenticación multifactor (MFA) y políticas de gestión de identidades, credenciales y accesos (ICAM) para mejorar la seguridad de las cuentas. También recomiendan mantener los sistemas actualizados, con especial atención a las vulnerabilidades que afectan a VPN, cortafuegos y otros dispositivos perimetrales incluidos en el catálogo de CISA de fallos explotados activamente, ya que suelen ser el vector de acceso inicial en los ataques de SafePay.
La CISA añade que los atacantes también emplean perfiles de cuentas suplantadas mediante phishing para infiltrarse en las redes y explotar vulnerabilidades y exposiciones comunes (CVE) en dispositivos perimetrales y otros sistemas expuestos a internet mediante scripts automatizados. Asimismo, advierte de que los actores de SafePay pueden obstaculizar la recuperación borrando copias de sombra y restableciendo dispositivos de almacenamiento conectado a la red (NAS) que contienen copias de seguridad.
El aviso incluye además indicadores de compromiso (IOC) y tácticas, técnicas y procedimientos (TTP) de actividad previa de SafePay observada entre noviembre de 2024 y agosto de 2026 durante las investigaciones del FBI, el USSS y la Oficina de Investigación Criminal de Renania-Palatinado.
A diferencia de otras operaciones similares, SafePay surgió en agosto de 2024 como un grupo privado de ransomware que no trabaja con afiliados. Desde entonces ha añadido cientos de víctimas de Norteamérica, Sudamérica, Europa y Australia a su sitio de filtraciones en la dark web, aunque la cifra real de organizaciones comprometidas y extorsionadas es mayor, ya que solo publica a quienes no pagan. El grupo es conocido por tácticas de doble extorsión: roba documentos sensibles antes de cifrar los sistemas de las víctimas y amenaza con divulgar todo lo sustraído si no se abona el rescate.
Desde comienzos de 2025, SafePay ha ido ocupando lentamente el espacio dejado por los grupos de ransomware BlackCat (ALPHV) y LockBit, hasta convertirse en una de las operaciones de ransomware más activas.
Deja una respuesta