CISA y socios atribuyen a SafePay más de 600 afectaciones en infraestructura crítica mundial

CISA, FBI, Servicio Secreto estadounidense y organismos de Alemania y Reino Unido publicaron un aviso conjunto sobre SafePay. Las agencias contabilizan al menos 600 organizaciones afectadas desde agosto de 2024 en Norteamérica, Sudamérica, Europa y Australia, dentro de múltiples sectores de infraestructura crítica.

SafePay opera como grupo privado y no como un servicio de ransomware con afiliados abiertos, según el análisis. La cifra oficial reúne investigaciones y organizaciones conocidas; no significa que todas hayan pagado ni que cada incidente tenga el mismo impacto.

Los actores aprovechan credenciales expuestas, fuerza bruta, perfiles obtenidos por phishing, VPN y vulnerabilidades de equipos perimetrales. El aviso también identifica uso de direcciones del proveedor Mullvad y scripts automatizados contra servicios accesibles desde Internet.

Después del acceso, el grupo roba información antes de cifrar y trata de deteriorar la recuperación eliminando copias sombra y restableciendo dispositivos NAS que contienen respaldos. La combinación aumenta la presión de extorsión y exige separar las copias de las credenciales del dominio.