CISA y el FBI afirman que el ransomware SafePay ha atacado a más de 600 organizaciones de infraestructura crítica

La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) y el FBI, junto con el Servicio Secreto de EE. UU. y unidades de ciberdelincuencia de Alemania y el Reino Unido, publicaron esta semana una alerta conjunta que afirma que el grupo de ransomware SafePay ha vulnerado a más de 600 organizaciones de infraestructura crítica en todo el mundo desde agosto de 2024.

La alerta, publicada como AA26-293A en el sitio de CISA, cubre la actividad de SafePay observada entre noviembre de 2024 y agosto de 2026, y enumera víctimas en Norteamérica, Sudamérica, Europa y Australia. Dado que el sitio de filtraciones de SafePay solo nombra a las organizaciones que se negaron a pagar, las agencias advirtieron que el número real de víctimas vulneradas y extorsionadas es casi con certeza mayor que las 600 identificadas públicamente.

SafePay surgió en agosto de 2024 como lo que los investigadores describen como una operación privada y cerrada: a diferencia de grupos de ransomware como servicio como LockBit o BlackCat (ALPHV), no recluta afiliados externos para ejecutar los ataques. Esa estructura no la ha frenado: desde principios de 2025, SafePay se ha convertido en una de las operaciones de ransomware más activas rastreadas por agencias federales, llenando gran parte del vacío que dejaron las acciones policiales que desmantelaron a LockBit y BlackCat.

Según la alerta, los métodos de acceso inicial de SafePay dependen en gran medida de accesos remotos expuestos o débilmente protegidos. El grupo realiza fuerza bruta contra credenciales de VPN y se ha observado específicamente que utiliza direcciones IP vinculadas al proveedor de VPN Mullvad para enmascarar su infraestructura durante las intrusiones. También usa credenciales obtenidas mediante phishing y scripts de escaneo automatizado para explotar vulnerabilidades conocidas en dispositivos de borde expuestos a internet, como firewalls y pasarelas VPN, la misma clase de fallos rastreados en el catálogo de vulnerabilidades explotadas conocidas de CISA.

Una vez dentro de una red, SafePay sigue un manual de doble extorsión ya conocido: extrae archivos confidenciales antes de desplegar el cifrado y luego amenaza con publicar los datos robados si no se paga un rescate. La alerta señala que el grupo apunta específicamente a la infraestructura de respaldo para dificultar la recuperación, eliminando copias de sombra de volumen en sistemas Windows comprometidos y restableciendo dispositivos de almacenamiento conectado a la red (NAS) que contienen datos de respaldo.

CISA y el FBI reiteraron que pagar un rescate no garantiza la recuperación de los archivos ni que los datos robados no se filtren de todos modos, e instaron a las víctimas a denunciar los incidentes a las fuerzas del orden en lugar de negociar en silencio. Las recomendaciones de la alerta para los operadores de infraestructura crítica incluyen aplicar autenticación multifactor (MFA) y una gestión de identidad y acceso más estricta, restringir el uso de herramientas administrativas para limitar el movimiento lateral tras una vulneración inicial, y priorizar los parches para vulnerabilidades de VPN, firewalls y otros dispositivos de borde incluidos en la lista de vulnerabilidades explotadas de CISA. Según informó BleepingComputer, la alerta completa incluye indicadores de compromiso y técnicas mapeadas según MITRE ATT&CK para que los equipos de defensa las verifiquen en sus propias redes.