Amerykańskie i europejskie służby ostrzegają przed zagrożeniem SafePay – ponad 600 organizacji na celowniku

Amerykańska agencja CISA we współpracy z FBI oraz służbami z Wielkiej Brytanii i Niemiec opublikowała ostrzeżenie przed prywatną grupą ransomware SafePay. Od sierpnia 2024 roku cyberprzestępcy przełamali zabezpieczenia w ponad 600 organizacjach należących do infrastruktury krytycznej na świecie. Służby podkreślają, że opłacenie żądanej kwoty nie daje gwarancji odzyskania danych i wzywają do natychmiastowego zgłaszania incydentów.

Wzrost aktywności nowej grupy i taktyka podwójnego wymuszenia

Grupa SafePay pojawiła się w sierpniu 2024 roku jako prywatny podmiot, który nie współpracuje z zewnętrznymi partnerami. Od początku 2025 roku sukcesywnie wypełnia ona przestrzeń powstałą po rozbiciu operacji LockBit oraz BlackCat, stając się jednym z najbardziej aktywnych zagrożeń na rynku. Cyberprzestępcy stosują taktykę podwójnego wymuszenia, polegającą na kradzieży poufnych dokumentów przed zaszyfrowaniem systemów oraz groźbie ich publikacji w dark necie. Na stronie wycieków umieszczane są dane wyłącznie tych podmiotów, które odmówiły przekazania środków, co oznacza, że rzeczywista skala poszkodowanych organizacji jest znacznie wyższa.

SafePay to jedna z najaktywniejszych grup zajmujących się oprogramowaniem ransomware, która od sierpnia 2024 r. atakowała przedsiębiorstwa i infrastrukturę krytyczną w Ameryce Północnej, Ameryce Południowej, Europie i Australii, w tym co najmniej 600 organizacji z wielu sektorów infrastruktury krytycznej – poinformowało CISA.

Metody paraliżowania systemów kopii zapasowych

Sprawcy uzyskują początkowy dostęp do sieci ofiar przy użyciu wyciekłych poświadczeń, ataków siłowych na hasła oraz poprzez sieci VPN, wykorzystując przy tym adresy IP dostawcy Mullvad. W działaniach przydają się im również sprofilowane kampanie phishingowe oraz automatyczne skrypty wykorzystujące znane podatności w urządzeniach brzegowych. Aby utrudnić procesy odzyskiwania sprawności operacyjnej, napastnicy usuwają kopie migawkowe oraz resetują pamięci masowe zawierające kopie zapasowe. Analitycy bezpieczeństwa zalecają ograniczenie uprawnień administracyjnych, wdrożenie uwierzytelniania wieloskładnikowego oraz bieżące łatanie zapór sieciowych i cyfrowych punktów styku z internetem.

Wykorzystują również wyłudzone profile kont do infiltracji sieci i wykorzystywania typowych luk w zabezpieczeniach (CVE) dla urządzeń brzegowych i innych systemów narażonych na dostęp do internetu za pomocą zautomatyzowanych skryptów.Osoby atakujące SafePay mogą zakłócać operacje odzyskiwania danych, usuwając kopie zapasowe i resetując urządzenia pamięci masowej podłączone do sieci, zawierające kopie zapasowe – dodało CISA.

Grupa cyberprzestępców stosująca ransomware znana jest również ze stosowania taktyki podwójnego wymuszenia: kradnie poufne dokumenty, szyfruje systemy ofiar i grozi wyciekiem wszystkich skradzionych danych do sieci, jeśli okup nie zostanie zapłacony.

Od początku 2025 roku SafePay powoli wypełnia lukę pozostawioną przez ransomware BlackCat (ALPHV) i LockBit, stając się jedną z najaktywniejszych operacji ransomware.

Większość stron internetowych w niebezpieczeństwie. Eksperci apelują o pilne aktualizacje serwerów