CISA y otras agencias internacionales advierten que el grupo de ransomware SafePay ha vulnerado a más de 600 organizaciones de infraestructura crítica desde agosto de 2024. Los atacantes acceden mediante credenciales robadas, fuerza bruta y vulnerabilidades en VPNs, utilizando tácticas de doble extorsión. Se recomienda implementar autenticación multifactor (MFA), mantener los sistemas actualizados y evitar el pago de rescates.

La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) afirma que la banda de ransomware SafePay ha vulnerado más de 600 organizaciones de infraestructura crítica en todo el mundo desde 2024.

En un informe conjunto con el FBI, el Servicio Secreto de EE. UU. (USSS), el Landeskriminalamt Rheinland-Pfalz de Alemania, y la Agencia Nacional contra el Crimen y la Unidad Regional contra el Crimen Organizado del Noroeste del Reino Unido, la agencia federal añadió que el pago de rescates no garantiza la recuperación de los archivos cifrados en los ataques de ransomware e instó a las víctimas a denunciar los incidentes a las autoridades.

"SafePay es uno de los grupos de ransomware más activos y ha afectado a empresas e infraestructuras críticas en América del Norte, América del Sur, Europa y Australia, incluyendo al menos 600 organizaciones de múltiples sectores de infraestructura crítica desde agosto de 2024", afirmó la CISA.

"Los actores de amenazas de SafePay obtienen el acceso inicial a través de diversos medios, incluyendo la exposición de credenciales, ataques de fuerza bruta a contraseñas y la explotación del acceso a redes privadas virtuales (VPN), particularmente las direcciones IP del proveedor de VPN 'Mullvad'".

Las agencias coautoras aconsejaron a los defensores de redes asegurar sus infraestructuras contra los ataques del grupo de ransomware restringiendo las herramientas y privilegios administrativos para bloquear el movimiento lateral tras el compromiso, e implementando la autenticación multifactor (MFA) y políticas de gestión de identidad, credenciales y acceso (ICAM) para una mejor seguridad de las cuentas.

Los equipos de seguridad también deben mantener los sistemas actualizados, centrándose en los fallos que afectan a VPN, firewalls y otros dispositivos perimetrales añadidos al catálogo de vulnerabilidades activamente explotadas de la CISA, ya que suelen ser el objetivo en los ataques de SafePay para el acceso inicial a las redes de las víctimas.

"También utilizan perfiles de cuentas obtenidas mediante phishing para infiltrarse en las redes y explotar vulnerabilidades y exposiciones comunes (CVE) para dispositivos perimetrales y otros sistemas expuestos a Internet a través de scripts automatizados", añadió la CISA. "Los actores de SafePay pueden interrumpir las operaciones de recuperación eliminando copias shadow y restableciendo dispositivos de almacenamiento conectado a la red que contienen copias de seguridad".

El aviso también incluye indicadores de compromiso (IOC) y tácticas, técnicas y procedimientos (TTP) de la actividad previa del ransomware SafePay observada entre noviembre de 2024 y agosto de 2026 durante las investigaciones del FBI, USSS y Landeskriminalamt Rheinland-Pfalz.

A diferencia de operaciones similares, SafePay surgió en agosto de 2024 como un grupo de ransomware privado que no trabaja con afiliados.

Desde entonces, ha añadido cientos de víctimas de América del Norte, América del Sur, Europa y Australia a su sitio de filtraciones en la dark web, pero el número real de víctimas vulneradas e intentadas extorsionar es mayor, ya que solo enumera en su plataforma de filtraciones a quienes no pagan.

Este grupo de ransomware es también conocido por sus tácticas de doble extorsión, robando documentos confidenciales antes de cifrar los sistemas de las víctimas y amenazando con filtrar todos los datos robados en línea si no se paga el rescate.

Desde principios de 2025, SafePay ha llenado lentamente el vacío dejado por el ransomware BlackCat (ALPHV) y LockBit, convirtiéndose en una de las operaciones de ransomware más activas.

Fuente:
BleepingComputer