El FBI afirma que la banda de ransomware SafePay está "entre las más activas" con más de 600 víctimas desde 2024.

⟫ 20/10/2026 ⟫ The Record

Fuente: The Record

Desde agosto de 2024, al menos 600 organizaciones en Estados Unidos y Europa han sido víctimas del grupo de ransomware SafePay, según un nuevo aviso emitido por agencias internacionales de aplicación de la ley. Esta situación resalta la creciente amenaza que representan los ataques cibernéticos a nivel global, afectando tanto a empresas privadas como a infraestructuras críticas. La capacidad de estos grupos para infiltrarse en sistemas de alta seguridad pone en riesgo la integridad de datos sensibles y la continuidad operativa de numerosas entidades.

El FBI, junto con agencias de ciberseguridad de Alemania y el Reino Unido, ha indicado que SafePay se ha consolidado como uno de los grupos de ransomware más activos en 2026, dirigiendo sus ataques hacia empresas y sectores esenciales mediante técnicas como la adivinación de contraseñas, la explotación de vulnerabilidades conocidas y ataques de phishing. Este aviso se basa en una serie de investigaciones llevadas a cabo por el FBI y las fuerzas del orden alemanas, siendo el último incidente registrado en agosto de este año.

El aviso detalla múltiples vulnerabilidades que SafePay ha utilizado en sus ataques, entre las que se encuentran CVE-2020-3259, CVE-2023-20269, CVE-2023-27532, CVE-2024-40711 y CVE-2024-40766, entre otras. Estas vulnerabilidades permiten a los atacantes acceder a sistemas que, de otro modo, estarían protegidos. Una vez que los actores de SafePay logran penetrar en la red, establecen control sobre la misma creando nuevas cuentas o tomando el control de las existentes. Posteriormente, emplean herramientas legítimas del sistema para navegar por la red, identificar archivos valiosos y desactivar las protecciones de seguridad, evitando así ser detectados.

Además, el grupo utiliza scripts automatizados para apuntar a vulnerabilidades en sistemas expuestos a internet. En algunos casos, los hackers cambian las contraseñas de los usuarios del sistema para dificultar su acceso y detener sus actividades. Utilizan herramientas legítimas para comprimir archivos y exfiltrarlos antes de desplegar el ransomware en los dispositivos de las víctimas. Herramientas de acceso remoto, como AnyDesk o TeamViewer, son empleadas para transferir el ransomware a los sistemas de las víctimas.

El aviso también señala que SafePay suele retener los datos cifrados como parte de su estrategia de extorsión, exigiendo "un subconjunto de los ingresos de la empresa en criptomonedas" a cambio de la clave de descifrado. Para ejercer presión sobre las víctimas, un representante del grupo realiza llamadas telefónicas en nombre de la organización de ransomware.

En la actualidad, el sitio de filtraciones del grupo enumera decenas de empresas alemanas, así como organizaciones gubernamentales en América Latina y Estados Unidos. Expertos han indicado previamente que partes del código de SafePay se asemejan a las de LockBit, una operación de ransomware que, aunque ha sido en gran medida desmantelada, fue responsable de cientos de ataques.

SafePay ha reivindicado recientemente ataques contra uno de los mayores proveedores de productos y servicios de TI en Estados Unidos, la empresa británica Microlise y el contratista tecnológico gubernamental Conduent. El ataque de SafePay a Conduent provocó daños significativos en Estados Unidos debido al papel crucial de la empresa en programas como Medicaid, asistencia infantil, ayuda alimentaria y peajes de carreteras. En respuesta a una demanda colectiva presentada tras el ataque de ransomware, Conduent anunció un acuerdo de 80 millones de dólares el pasado viernes.

El auge del ransomware y de grupos como SafePay no solo plantea un desafío a la seguridad cibernética, sino que también afecta la confianza pública en las infraestructuras digitales críticas. Las empresas deben ser proactivas en la implementación de medidas de seguridad robustas y en la formación de sus empleados para reconocer y prevenir ataques cibernéticos. La colaboración entre las entidades gubernamentales y el sector privado es crucial para desarrollar estrategias efectivas que puedan mitigar estos riesgos y proteger la integridad de los sistemas y datos que son vitales para la sociedad.

◢ VULNERABILIDADES ◣

FBI says SafePay ransomware gang ‘among most active’ with more than 600 victims since 2024

⟫ 20/10/2026 ⟫ The Record

Source: The Record

At least 600 organizations across the U.S. and Europe have been breached by the SafePay ransomware gang since August 2024, according to a new advisory from international law enforcement agencies. The FBI and cybersecurity agencies in Germany as well as the U.K. said SafePay is now “among the most active ransomware groups in 2026” and is targeting businesses and critical infrastructure by guessing passwords, exploiting vulnerabilities and using phishing attacks. The advisory was created based on numerous FBI and German law enforcement investigations involving SafePay, with the most recent incident occurring in August. The advisory lists multiple vulnerabilities the group has used in attacks, including CVE-2020-3259, CVE-2023-20269,CVE-2023-27532,CVE-2024-40711,CVE-2024-40766and others. “Once inside the network, SafePay actors establish control by creating new accounts or taking over existing ones,” the agenciessaid. “They then use legitimate system tools to move through the network, identify valuable files, and disable security protections to avoid detection.” The group also uses automated scripts to target vulnerabilities across internet-exposed systems. In some cases, the hackers change the passwords of system users to make it harder for them to login and stop their activity. They use legitimate tools to compress files and exfiltrate them before deploying the ransomware on victim devices. Legitimate remote desktop tools like AnyDesk or TeamViewer are used to transfer ransomware onto victim systems. The advisory said SafePay typically holds encrypted data for ransom and demands “a subset of company revenue in cryptocurrency” in exchange for the decryption key. “To put pressure on the victim, a representative makes phone calls on behalf of the ransomware group.” The group’s leak site currently lists dozens of German companies as well as government organizations across Latin America and the U.S. Experts previouslysaidparts of SafePay’s coderesembleLockBit, a largely defunct ransomware operation that was previously responsible for hundreds of attacks. SafePay has recently taken credit for attacks onone of the U.S.'s biggest providers of IT products and services,British tech company Microliseandgovernment technology contractor Conduent. The SafePay attack on Conduent caused significant damage across the U.S. because of the company’s role in Medicaid, child support, food assistance, roadway tolls and more. Conduentannounceda $80 million settlement last Friday in response to a class action lawsuit filed in the wake of the ransomware attack. is a Breaking News Reporter at Recorded Future News. Jonathan has worked across the globe as a journalist since 2014. Before moving back to New York City, he worked for news outlets in South Africa, Jordan and Cambodia. He previously covered cybersecurity at ZDNet and TechRepublic.

← VOLVER A CIBERSEGURIDAD