FBI says SafePay ransomware gang ‘among most active’ with more than 600 victims since 2024
The Record · 20 oct, 22:27
Qué hacer: Parchea inmediatamente los sistemas contra CVE-2020-3259, CVE-2023-20269, CVE-2023-27532, CVE-2024-40711 y CVE-2024-40766, refuerza la autenticación multifactor, revisa los registros de acceso remoto y deshabilita herramientas de escritorio remoto no autorizadas.
El FBI y agencias de ciberseguridad de Alemania y Reino Unido advierten que el grupo de ransomware SafePay es uno de los más activos en 2026, con más de 600 víctimas desde agosto de 2024 en EE.UU. y Europa. El grupo ataca mediante adivinanza de contraseñas, explotación de vulnerabilidades y phishing, utilizando herramientas legítimas como AnyDesk o TeamViewer para desplegar el malware y exfiltrar datos antes de cobrar un rescate.
SafePay se ha convertido en uno de los grupos de ransomware más activos, dirigiéndose a empresas e infraestructura crítica. Una vez dentro de la red, los atacantes crean nuevas cuentas o toman control de las existentes, utilizan herramientas legítimas del sistema para moverse lateralmente, identificar archivos valiosos y deshabilitar protecciones de seguridad. También emplean scripts automatizados para atacar vulnerabilidades en sistemas expuestos a Internet.
El grupo ha explotado múltiples CVE en sus ataques, incluyendo CVE-2020-3259, CVE-2023-20269, CVE-2023-27532, CVE-2024-40711 y CVE-2024-40766. SafePay comprime y exfiltra archivos antes de desplegar ransomware, cambiando contraseñas de usuarios para complicar la respuesta. El grupo suele exigir un porcentaje de ingresos empresariales en criptomonedas y realiza llamadas de presión a las víctimas. Investigadores han identificado similitudes entre el código de SafePay y LockBit, un grupo de ransomware parcialmente desarticulado. Ataques notables incluyen proveedores de IT de EE.UU., Microlise (Reino Unido) y Conduent, cuyo ataque causó daño significativo en servicios de Medicaid, ayuda alimentaria y peaje de carreteras, resultando en un acuerdo de 80 millones de dólares.
Puntos clave
- Más de 600 víctimas en EE.UU. y Europa desde agosto de 2024, atacando infraestructura crítica
- Explota CVE-2020-3259, CVE-2023-20269, CVE-2023-27532, CVE-2024-40711, CVE-2024-40766 y otras
- Utiliza herramientas legítimas (AnyDesk, TeamViewer) y scripts automatizados para acceso y movimiento lateral
- Exfiltración de datos seguida de despliegue de ransomware, con demandas de rescate en criptomonedas
- Ataque a Conduent causó daño masivo en servicios federales estadounidenses, resultado en acuerdo de 80 millones