Агенцията за киберсигурност и сигурност на инфраструктурата (CISA) съобщи, че групата зад рансъмуера SafePay е компрометирала над 600 организации от критичната инфраструктура по света от 2024 г. насам.

В съвместен доклад с ФБР, Сикрет Сървис на САЩ (USSS), германската служба Landeskriminalamt Rheinland-Pfalz, както и британските Национална агенция за борба с престъпността (NCA) и Регионалното звено за борба с организираната престъпност в Северозападна Англия (NWROCU), федералната агенция допълва, че плащането на откуп не гарантира възстановяването на файловете, криптирани при рансъмуер атаки, и призова жертвите да докладват инцидентите на правоприлагащите органи.

„SafePay е една от най-активните рансъмуер групи и е засегнала бизнеси и критична инфраструктура в Северна Америка, Южна Америка, Европа и Австралия — включително най-малко 600 организации от множество сектори на критичната инфраструктура от август 2024 г. насам“, заявява CISA.

„Авторите на заплахата зад SafePay получават първоначален достъп чрез разнообразни средства, включително изтекли идентификационни данни, атаки с груба сила срещу пароли (brute force) и експлоатиране на достъп през виртуални частни мрежи (VPN) — особено IP адресите на VPN доставчика ‚Mullvad‘.“

Агенциите съавтори съветват специалистите по мрежова защита да защитят мрежите си срещу атаките на рансъмуер групата, като ограничат административните инструменти и привилегии, за да блокират страничното движение (lateral movement) след пробив, и като внедрят многофакторно удостоверяване (MFA) и политики за управление на идентичността, данните за достъп и правата (ICAM) за по-добра сигурност на профилите.

Екипите по сигурност трябва също така да поддържат системите си обновени, като се съсредоточат върху слабости, засягащи VPN решения, защитни стени и други периферни устройства (edge devices), включени в каталога на CISA за активно експлоатирани уязвимости, тъй като те често са обект на атаки от SafePay за първоначален достъп до мрежите на жертвите.

„Те използват също така компрометирани чрез фишинг потребителски профили, за да се инфилтрират в мрежите, и експлоатират често срещани уязвимости и експозиции (CVE) за периферни устройства и други отворени към интернет системи чрез автоматизирани скриптове“, допълва CISA. „Злонамерените субекти зад SafePay могат да възпрепятстват операциите по възстановяване, като изтриват сенчести копия (shadow copies) и рестартират мрежово прикачени устройства за съхранение (NAS), съдържащи резервни копия.“

Предупреждението включва и индикатори за компрометиране (IOC) и тактики, техники и процедури (TTP), свързани с предишна активност на рансъмуера SafePay, наблюдавана между ноември 2024 г. и август 2026 г. по време на разследвания на ФБР, USSS и Landeskriminalamt Rheinland-Pfalz.

За разлика от подобни операции, SafePay се появява през август 2024 г. като затворена рансъмуер група, която не работи с филиали (affiliates).

Оттогава насам тя е добавила стотици жертви от Северна Америка, Южна Америка, Европа и Австралия към своя сайт за изтичане на данни в тъмната мрежа, но реалният брой на жертвите, чиито мрежи са били компрометирани и подложени на изнудване, е по-голям, тъй като на платформата се публикуват само тези, които отказват да платят.

Тази рансъмуер група е известна и с тактики за двойно изнудване — тя краде чувствителни документи, преди да криптира системите на жертвите, след което заплашва да публикува всички откраднати данни онлайн, ако откупът не бъде платен.

От началото на 2025 г. SafePay постепенно запълва празнината, оставена от рансъмуерите BlackCat (ALPHV) и LockBit, превръщайки се в една от най-активните рансъмуер операции.

След като атакуващите получат валидни идентификационни данни, само 37% от действията им биват блокирани

Общите показатели за превенция могат да скрият какво се случва след първоначалния достъп. Когато атакуващите използват валидни идентификационни данни, ефективността на защитата рязко спада.

Докладът The Blue Report 2026 измерва защитните сили техника по техника чрез 338 милиона симулации, проведени в реални производствени среди на клиенти.