CISA atribuye al menos 600 víctimas al ransomware SafePay desde 2024
El advisory AA26-293A describe accesos por credenciales y vulnerabilidades conocidas, uso de herramientas administrativas y ataques a copias de seguridad. La respuesta requiere revisar exposición, identidad, detección y capacidad real de restauración.
El aviso conjunto AA26-293A de CISA, el FBI, el Servicio Secreto estadounidense y organismos policiales de Reino Unido y Alemania atribuye a SafePay al menos 600 víctimas desde agosto de 2024, entre empresas y organizaciones de sectores de infraestructura crítica. Las agencias sitúan al grupo entre los operadores de ransomware más activos de 2026; el recuento y las tácticas proceden de investigaciones policiales, no de una estimación de infecciones todavía sin confirmar.
El patrón descrito combina contraseñas robadas o adivinadas, phishing y explotación de sistemas expuestos a Internet. El aviso enumera fallos en Cisco ASA y Firepower, Veeam Backup & Replication y SonicWall SonicOS, entre ellos CVE-2020-3259, CVE-2023-20269, CVE-2023-27532, CVE-2024-40711 y CVE-2024-40766. No es una alerta sobre una vulnerabilidad recién descubierta: el riesgo operativo está en equipos que siguen expuestos o sin la corrección aplicable, junto con accesos remotos protegidos solo por credenciales débiles.
-InfraCrew dice: Las CVE antiguas no caducan por vergüenza; siguen entrando en el inventario hasta que el equipo realmente queda corregido.-
El perímetro no es el final del ataque
Una vez dentro, SafePay crea cuentas nuevas o se apropia de las existentes y se mueve por la red con herramientas legítimas de administración, como PsExec, WinRM y RDP. Las agencias también describen el uso de utilidades de escritorio remoto, cambios de contraseña para entorpecer la respuesta y acciones para desactivar protecciones. El acceso inicial abre la puerta; las cuentas privilegiadas y la administración remota deciden hasta dónde llega el actor.
El grupo identifica información valiosa, la comprime y la transfiere fuera de la organización antes de desplegar el cifrado. El aviso cita utilidades como WinSCP, RClone y servicios de almacenamiento en la nube; SafePay puede combinar el bloqueo de sistemas con presión para pagar y publicar los datos robados. La exfiltración cambia el alcance del incidente: recuperar máquinas no elimina el deber de determinar qué información salió ni a quién hay que notificar según las obligaciones aplicables.
-InfraCrew dice: Si una sesión comprometida puede crear administradores, detener la protección y tocar el repositorio, el árbol de permisos ya está contando la historia.-
El repositorio de backup también es superficie de ataque
El detalle incómodo para quienes operan copias de seguridad es que el advisory menciona vulnerabilidades de Veeam Backup & Replication y acciones contra dispositivos NAS, incluido restablecerlos a fábrica. Eso no significa que cada versión de Veeam esté afectada ni que todo repositorio sea vulnerable: cada CVE tiene producto, versión y corrección propios, que deben comprobarse en los avisos de los fabricantes antes de cambiar nada. La coincidencia entre el servidor de backup, el dominio y la red de producción sí merece una revisión cuidadosa.
Las recomendaciones del aviso apuntan a reducir credenciales reutilizables, limitar la exposición de dispositivos de borde y de administración, revisar los indicadores publicados y mantener copias aisladas que no compartan el mismo control administrativo. En la práctica, conviene verificar que una cuenta comprometida de dominio no pueda borrar en línea todas las copias y ejecutar restauraciones de prueba. La inmutabilidad y el aislamiento solo ayudan si están configurados en el plano de control y en las credenciales, no solo en una casilla del producto.
La alerta no identifica una única ruta de entrada ni justifica tratar toda actividad de VPN como intrusión. Sí permite priorizar una comprobación concreta: inventariar los dispositivos listados, cruzar versiones con sus avisos de seguridad, endurecer el acceso remoto y observar creación de cuentas, uso de herramientas administrativas y transferencias inusuales. El advisory incluye indicadores descargables para apoyar la búsqueda. La defensa útil conecta parcheo, identidad, detección y recuperación; resolver solo una de esas piezas deja las otras disponibles para el siguiente intento.
-InfraCrew dice: Un backup aislado y restaurado en una prueba vale más que una consola llena de checks verdes y una contraseña compartida.-
Diccionario de la Crew
Acceso inicial — Primera entrada del atacante en un entorno, por credenciales, phishing o explotación de un servicio expuesto.
Exfiltración — Copia y salida no autorizada de datos desde la organización hacia infraestructura controlada por un atacante.
Inmutabilidad — Propiedad que impide modificar o borrar una copia durante un periodo definido, incluso desde ciertas cuentas administrativas.
Fuentes
- CISA, FBI, USSS y socios internacionales — AA26-293A | https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-293a
- The Record, Recorded Future News | https://therecord.media/fbi-says-safepay-ransomware-gang-among-most-active-600-victims
