CISA e FBI afirmam que o ransomware SafePay já atingiu mais de 600 organizações de infraestrutura crítica

A Agência de Segurança Cibernética e de Infraestrutura (CISA) e o FBI, em conjunto com o Serviço Secreto dos EUA e unidades de combate ao cibercrime da Alemanha e do Reino Unido, publicaram nesta semana um alerta conjunto afirmando que o grupo de ransomware SafePay invadiu mais de 600 organizações de infraestrutura crítica em todo o mundo desde agosto de 2024.

O alerta, publicado como AA26-293A no site da CISA, cobre a atividade do SafePay observada entre novembro de 2024 e agosto de 2026 e lista vítimas na América do Norte, América do Sul, Europa e Austrália. Como o site de vazamento do SafePay nomeia apenas as organizações que se recusaram a pagar, as agências alertaram que o número real de vítimas invadidas e extorquidas é quase certamente maior do que as 600 identificadas publicamente.

O SafePay surgiu em agosto de 2024 como o que pesquisadores descrevem como uma operação privada e fechada — diferente de grupos de ransomware como serviço, como LockBit ou BlackCat (ALPHV), ele não recruta afiliados externos para realizar os ataques. Essa estrutura não o desacelerou: desde o início de 2025, o SafePay se tornou uma das operações de ransomware mais ativas monitoradas por agências federais, ocupando boa parte do espaço deixado pelas ações policiais que desarticularam o LockBit e o BlackCat.

Segundo o alerta, os métodos de acesso inicial do SafePay dependem fortemente de acesso remoto exposto ou mal protegido. O grupo realiza força bruta contra credenciais de VPN e já foi observado utilizando endereços IP associados ao provedor de VPN Mullvad para mascarar sua infraestrutura durante as invasões. Também usa credenciais obtidas por phishing e scripts de varredura automatizados para explorar vulnerabilidades conhecidas em dispositivos de borda expostos à internet, como firewalls e gateways VPN — a mesma categoria de falhas rastreadas no catálogo de vulnerabilidades exploradas conhecidas da CISA.

Uma vez dentro da rede, o SafePay segue um roteiro de dupla extorsão já bem conhecido: exfiltra arquivos sensíveis antes de implantar a criptografia e depois ameaça publicar os dados roubados caso o resgate não seja pago. O alerta observa que o grupo tem como alvo específico a infraestrutura de backup para dificultar a recuperação, excluindo cópias de sombra de volume em sistemas Windows comprometidos e redefinindo dispositivos de armazenamento conectado à rede (NAS) que guardam dados de backup.

A CISA e o FBI reiteraram que pagar um resgate não garante a recuperação dos arquivos nem impede que os dados roubados sejam vazados de qualquer forma, e instaram as vítimas a denunciar os incidentes às autoridades em vez de negociar em sigilo. As recomendações do alerta para operadores de infraestrutura crítica incluem a aplicação de autenticação multifator (MFA) e uma gestão de identidade e acesso mais rígida, a restrição do uso de ferramentas administrativas para limitar o movimento lateral após uma invasão inicial, e a priorização de correções para vulnerabilidades de VPN, firewalls e outros dispositivos de borda na lista de vulnerabilidades exploradas da CISA. Segundo a BleepingComputer, o alerta completo inclui indicadores de comprometimento e técnicas mapeadas segundo o framework MITRE ATT&CK para que as equipes de defesa verifiquem em suas próprias redes.