La CISA et le FBI indiquent que le rançongiciel SafePay a touché plus de 600 organisations d'infrastructures critiques

L'agence de cybersécurité et de sécurité des infrastructures (CISA) et le FBI, en collaboration avec le Secret Service américain et des unités de lutte contre la cybercriminalité en Allemagne et au Royaume-Uni, ont publié cette semaine une alerte conjointe indiquant que le groupe de rançongiciel SafePay a compromis plus de 600 organisations d'infrastructures critiques dans le monde depuis août 2024.

L'alerte, publiée sous la référence AA26-293A sur le site de la CISA, couvre l'activité de SafePay observée entre novembre 2024 et août 2026 et recense des victimes en Amérique du Nord, en Amérique du Sud, en Europe et en Australie. Le site de fuite de données de SafePay ne nommant que les organisations ayant refusé de payer, les agences ont averti que le nombre réel de victimes compromises et rançonnées est presque certainement supérieur aux 600 cas identifiés publiquement.

SafePay est apparu en août 2024 comme une opération privée et fermée, selon les chercheurs : contrairement aux groupes de rançongiciel-service comme LockBit ou BlackCat (ALPHV), il ne recrute pas d'affiliés externes pour mener ses attaques. Cette structure ne l'a pas ralenti : depuis début 2025, SafePay est devenu l'une des opérations de rançongiciel les plus actives suivies par les agences fédérales, comblant une grande partie du vide laissé par les actions des forces de l'ordre contre LockBit et BlackCat.

Selon l'alerte, les méthodes d'accès initial de SafePay reposent largement sur des accès à distance exposés ou mal protégés. Le groupe force par attaque brute les identifiants VPN et a spécifiquement été observé utilisant des adresses IP liées au fournisseur VPN Mullvad pour masquer son infrastructure pendant les intrusions. Il utilise également des identifiants obtenus par hameçonnage et des scripts d'analyse automatisés pour exploiter des vulnérabilités connues sur des équipements périphériques exposés sur internet, comme les pare-feux et passerelles VPN — la même catégorie de failles suivie dans le catalogue des vulnérabilités exploitées connues de la CISA.

Une fois à l'intérieur d'un réseau, SafePay suit un scénario de double extorsion désormais bien connu : exfiltration de fichiers sensibles avant le déploiement du chiffrement, puis menace de publier les données volées en l'absence de paiement d'une rançon. L'alerte précise que le groupe cible spécifiquement l'infrastructure de sauvegarde pour entraver la récupération, en supprimant les copies instantanées de volumes sur les systèmes Windows compromis et en réinitialisant les dispositifs de stockage en réseau (NAS) contenant les données de sauvegarde.

La CISA et le FBI ont réaffirmé que le paiement d'une rançon ne garantit ni la récupération des fichiers ni l'absence de fuite des données volées, et ont exhorté les victimes à signaler les incidents aux forces de l'ordre plutôt que de négocier discrètement. Les recommandations de l'alerte pour les opérateurs d'infrastructures critiques incluent l'application de l'authentification multifacteur (MFA) et un renforcement de la gestion des identités et des accès, la restriction de l'usage des outils d'administration pour limiter les mouvements latéraux après une intrusion initiale, et la priorisation des correctifs pour les vulnérabilités des VPN, pare-feux et autres équipements périphériques figurant sur la liste des vulnérabilités exploitées de la CISA. Selon BleepingComputer, l'alerte complète comprend des indicateurs de compromission et des techniques cartographiées selon le cadre MITRE ATT&CK que les équipes de défense peuvent vérifier sur leurs propres réseaux.