21 de octubre de 2026. La Cybersecurity and Infrastructure Security Agency (CISA), el FBI, el U.S. Secret Service (USSS), Landeskriminalamt Rheinland-Pfalz, la National Crime Agency y la North West Regional Organised Crime Unit informaron de que el grupo de ransomware SafePay ha afectado al menos a 600 organizaciones de infraestructura crítica desde agosto de 2024.
Las víctimas se encuentran en Norteamérica, Sudamérica, Europa y Australia. Según las agencias, SafePay obtiene acceso inicial mediante exposición de credenciales, ataques de fuerza bruta contra contraseñas, perfiles de cuentas obtenidos mediante phishing y la explotación de accesos VPN, incluidas direcciones IP del proveedor Mullvad.
El grupo también explota vulnerabilidades conocidas en VPN, firewalls y otros sistemas expuestos a Internet, en algunos casos mediante scripts automatizados. Tras comprometer una red, puede restringir el movimiento lateral mediante herramientas y privilegios administrativos, además de eliminar copias shadow y restablecer dispositivos de almacenamiento conectado a la red que contengan copias de seguridad.
SafePay emplea una estrategia de doble extorsión: roba documentos sensibles antes de cifrar los sistemas y amenaza con publicar los datos si la víctima no paga. CISA y sus organismos asociados advirtieron de que el pago del rescate no garantiza la recuperación de los archivos y recomendaron notificar los incidentes a las fuerzas de seguridad.
El informe aconseja aplicar autenticación multifactor y políticas de gestión de identidades, credenciales y accesos, restringir herramientas y privilegios administrativos, y mantener actualizados los sistemas, especialmente frente a vulnerabilidades de dispositivos perimetrales incluidas en el catálogo de fallos explotados de forma activa de CISA. La alerta incorpora indicadores de compromiso y tácticas, técnicas y procedimientos observados entre noviembre de 2024 y agosto de 2026.
Fuente: BleepingComputer.
Más noticias
Claves robadas de UpdraftCentral se utilizan para instalar puertas traseras en sitios WordPress
AOMEI aún no ha notificado a los clientes afectados por el secuestro de sus actualizaciones
Versiones de OVHcloud CLI comprometidas en GitHub distribuían malware para robar secretos
Comprometen Rank Math PRO para instalar puertas traseras en sitios WordPress
Comprometen los servidores de actualización de AOMEI para distribuir malware
Un ciberataque interrumpe varios sistemas municipales de Columbia