CISA: SafePay ransomware hit over 600 critical infrastructure orgs
BleepingComputer · 21 oct, 10:36
La agencia de seguridad estadounidense CISA informa que el grupo de ransomware SafePay ha comprometido más de 600 organizaciones de infraestructura crítica en todo el mundo desde agosto de 2024. Los atacantes obtienen acceso inicial mediante exposición de credenciales, ataques de fuerza bruta contra contraseñas y explotación de acceso VPN, particularmente del proveedor Mullvad. SafePay utiliza tácticas de doble extorsión, robando documentos antes de cifrar sistemas, y ha crecido rápidamente para ocupar el vacío dejado por otros grupos como BlackCat y LockBit.
En un informe conjunto con el FBI, el Servicio Secreto estadounidense, autoridades alemanas y británicas, CISA detalla cómo SafePay opera como grupo privado sin afiliados desde su emergencia en agosto de 2024. Los atacantes combinan múltiples vectores: credenciales expuestas, scripts automatizados para explotar CVEs en dispositivos de borde y sistemas conectados a Internet, y perfiles robados mediante phishing. Una vez dentro de la red, usan herramientas administrativas para movimiento lateral y sabotean recuperaciones eliminando shadow copies y reiniciando dispositivos de almacenamiento de red.
De los 600 atacados, solo una parte aparece en su sitio de filtración en dark web —aquellos que se negaron a pagar—, sugiriendo que la cifra real de intentos de extorsión es superior. Desde inicios de 2025, SafePay se ha consolidado como uno de los grupos más activos, reemplazando operaciones desmanteladas. Las autoridades recomiendan implementar autenticación multifactor, políticas de gestión de identidad y acceso, mantener sistemas actualizados en VPN y cortafuegos, y restringir herramientas administrativas.
Puntos clave
- SafePay ha afectado 600+ organizaciones de infraestructura crítica desde agosto de 2024 en múltiples continentes
- Acceso inicial mediante credenciales expuestas, fuerza bruta contra VPN Mullvad y explotación de CVEs en dispositivos de borde
- Doble extorsión: roba datos antes de cifrar y amenaza con filtración si no se paga el rescate
- Implementar MFA, políticas ICAM, restringir herramientas administrativas y mantener sistemas de VPN y firewall actualizados
Figuras de la fuente
