SafePay: aviz comun CISA, FBI, NCA și LKA Rheinland-Pfalz despre un grup ransomware cu peste 600 de victime. Ce confirmă avizul și ce verifici la tine

• Amploarea: cel puțin 600 de victime distincte, din mai multe sectoare critice, pe patru continente. Avizul nu numește sectoarele în textul pe care l-am citit. BleepingComputer notează că site-ul de scurgeri listează doar victimele care nu au plătit, deci numărul real este mai mare. Este observația presei, nu cifra avizului.
• Accesul inițial: credențiale expuse sau ghicite prin atacuri de tip brute-force, exploatarea accesului VPN (avizul menționează și adrese IP asociate cu un furnizor de VPN comercial), conturi obținute prin phishing și exploatarea, prin scripturi automate, a sistemelor expuse în internet. Presa notează că formularea despre furnizorul de VPN este neclară; nu o interpretăm.
• Vulnerabilități listate: CVE-2020-3259, CVE-2023-20269, CVE-2023-27532, CVE-2024-40711 și CVE-2024-40766. Potrivit înregistrărilor CVE publice, ele privesc echipamente de margine (Cisco, SonicWall) și software de backup (Veeam). Verifică maparea exactă pe produse în aviz, nu în acest rezumat.
• După intrare: persistență prin conturi cu drepturi de administrator, existente sau create, mișcare laterală cu instrumente legitime ale sistemului (execuție la distanță, Windows Remote Management, Remote Desktop), căutarea de partajări de fișiere, escaladare de privilegii, dezactivarea programelor de securitate și schimbarea parolelor utilizatorilor pentru a-i bloca. Avizul precizează că instrumentele legitime nu trebuie tratate drept malițioase fără dovezi de folosire de către atacator.
• Datele: sunt mutate în conturi cloud controlate de atacatori, uneori OneDrive, folosind utilitare legitime de arhivare și transfer.
• Criptarea și șantajul: criptare hibridă, fișiere cu extensia .SafePay, criptare completă sau parțială. Înainte de criptare, grupul oprește serviciul Volume Shadow Copy și resetează la valorile din fabrică dispozitivele NAS; în unele cazuri copiile de siguranță din rețea au fost șterse. Nota de răscumpărare trimite la un portal de chat Tor, victimelor li se cere de obicei o parte din veniturile firmei, iar operatorii dau telefoane de presiune și publică datele la neplată. Programul se poate șterge singur după criptare.
• Autoritățile nu încurajează plata și spun că plata nu garantează recuperarea fișierelor.

• BleepingComputer: SafePay a apărut în august 2024, ca grup privat care nu folosește afiliați, spre deosebire de multe operațiuni ransomware-as-a-service, și ar fi umplut, din 2025, golul lăsat de BlackCat și LockBit. Sunt relatări ale presei, nu constatări ale avizului.
• The Record, citând FBI: SafePay este printre cele mai active grupuri, cu peste 600 de victime din 2024. Clasarea ca „printre cele mai active” aparține FBI și cercetătorilor citați, nu avizului în sine.
• Avizul acoperă indicatori și tehnici observate între noiembrie 2024 și august 2026. Nu reproducem indicatorii; sunt în aviz.

• Care sunt sectoarele și țările exacte ale victimelor: avizul spune doar „sectoare de infrastructură critică” și regiuni.
• Câte organizații din România sau din UE au fost lovite: nu sunt date.
• Cine sunt operatorii, de unde operează și cum își împart rolurile: avizul nu face atribuire.
• Câți au plătit și ce sume: avizul nu dă sume.

• Echipamentele de margine și VPN: sunt corectate? Ai pe listă vulnerabilitățile menționate de aviz și toate defectele exploatate din catalogul CISA KEV pentru echipamentele tale? Cine le urmărește?
• Autentificarea: ai autentificare multifactor pentru VPN, e-mail web și sisteme critice, și blocare după încercări eșuate? Parolele expuse în breșe vechi sunt încă valabile?
• Copiile de siguranță: pot fi șterse sau resetate de la contul de administrator al domeniului? Avizul descrie ștergerea copiilor din rețea și resetarea NAS. Ai o copie offline, criptată și imuabilă, testată la restaurare?
• Conturile și domeniul: auditezi conturile de administrator noi sau necunoscute în Active Directory și pe servere? Cine primește alertă când un cont nou capătă drepturi?
• Segmentarea și EDR: poți vedea mișcare laterală prin RDP și Windows Remote Management? Accesul la distanță către rețeaua internă este filtrat?
• Ieșirea datelor: monitorizezi transferurile mari către conturi cloud personale sau neautorizate (inclusiv OneDrive)?
• Presiunea: dacă a doua zi sună cineva care îți cere bani și amenință cu publicarea, cine răspunde, ce spune și cine decide? Pregătește un protocol, inclusiv implicarea juridicului și a organelor de aplicare a legii (în România, DIICOT și DNSC).
• Un exercițiu: simulează o dimineață în care copiile din rețea au dispărut și parolele utilizatorilor au fost schimbate. Ce restaurezi primul și de unde?

Avizul îndeamnă la raportare către autoritățile americane și britanice. Pentru o organizație din România, primul pas este DNSC; pentru entitățile esențiale și importante, NIS2 cere avertizare timpurie în 24 de ore și raport inițial în 72 de ore pentru incidente semnificative (OUG 155/2024, aprobată prin Legea 124/2025). Dacă sunt afectate date personale, GDPR cere notificarea ANSPDCP în 72 de ore, dacă este posibil. Aplicabilitatea depinde de situația ta; verifică cu juristul sau cu responsabilul cu protecția datelor.

Avizul AA26-293A este sursa primară pentru tehnici, vulnerabilități și măsuri. Cifra de 600 vine din aviz; faptul că adevăratul număr este mai mare, dinamica pieței ransomware și clasamentele sunt observații ale presei și ale FBI. Nu confunda un grup activ cu un risc pentru toți.

Awarely Learning poate pregăti exerciții pentru conducere despre dimineața după un atac, iar Awarely Monitor poate ajuta la evidența echipamentelor expuse și la prioritizarea remedierii. Articolul nu este consultanță juridică și nu garantează conformitatea.