A Cybersecurity and Infrastructure Security Agency (CISA) afirma que o grupo de ransomware SafePay invadiu mais de 600 organizações de infraestrutura crítica em todo o mundo desde 2024.
Em um alerta conjunto com o Federal Bureau of Investigation (FBI), o U.S. Secret Service (USSS), o Landeskriminalamt Rheinland-Pfalz, da Alemanha, a National Crime Agency, do Reino Unido, e a North West Regional Organised Crime Unit, da Inglaterra, a CISA advertiu que pagar o resgate não garante a recuperação dos arquivos criptografados em ataques de ransomware. As autoridades também recomendaram que as vítimas denunciem os incidentes às forças de segurança.
“SafePay é um dos grupos de ransomware mais ativos e já afetou empresas e organizações de infraestrutura crítica na América do Norte, na América do Sul, na Europa e na Austrália. Desde agosto de 2024, pelo menos 600 organizações de diferentes setores da infraestrutura crítica foram atingidas”, afirmou a CISA.
“Os agentes de ameaça do SafePay obtêm acesso inicial por diversos meios, incluindo o uso de credenciais expostas, ataques de força bruta contra senhas e acesso por meio de redes privadas virtuais (VPNs), especialmente com endereços IP do provedor Mullvad.”
As agências responsáveis pelo alerta recomendaram que as equipes de defesa de redes limitem o uso de ferramentas e privilégios administrativos para impedir a movimentação lateral após uma invasão. Também orientaram a implementação de autenticação multifator (MFA) e de políticas de gestão de identidade, credenciais e acesso (ICAM) para reforçar a segurança das contas.
As equipes de segurança também devem manter os sistemas atualizados, com atenção especial às vulnerabilidades em VPNs, firewalls e outros dispositivos de borda incluídos no catálogo da CISA de vulnerabilidades exploradas ativamente. Esses dispositivos são alvos frequentes do SafePay para obter acesso inicial às redes das vítimas.
“Os integrantes do SafePay também usam contas comprometidas por phishing para se infiltrar em redes e exploram, por meio de scripts automatizados, vulnerabilidades e exposições comuns (CVEs) em dispositivos de borda e outros sistemas expostos à internet”, acrescentou a CISA. “Os integrantes do grupo podem prejudicar as operações de recuperação ao apagar cópias de sombra e redefinir dispositivos de armazenamento conectados à rede que contêm backups.”
O alerta também reúne indicadores de comprometimento (IOCs) e informações sobre táticas, técnicas e procedimentos (TTPs) observados em atividades anteriores do SafePay entre novembro de 2024 e agosto de 2026. Os dados foram coletados durante investigações do FBI, do USSS e do Landeskriminalamt Rheinland-Pfalz.
Diferentemente de operações semelhantes, o SafePay surgiu em agosto de 2024 como um grupo privado de ransomware que opera sem afiliados.
Desde então, o grupo incluiu centenas de vítimas da América do Norte, da América do Sul, da Europa e da Austrália em seu site de vazamentos na dark web. O número real de vítimas invadidas e extorquidas, porém, é maior, já que o site lista apenas as organizações que não pagam o resgate.
O grupo também é conhecido por usar táticas de extorsão dupla: rouba documentos confidenciais antes de criptografar os sistemas das vítimas e ameaça divulgar os dados roubados na internet caso o resgate não seja pago.
Desde o início de 2025, o SafePay vem ocupando gradualmente o espaço deixado pelos grupos de ransomware BlackCat (ALPHV) e LockBit e se tornou uma das operações mais ativas do tipo.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...