El FBI y la CISA alertan que el ransomware SafePay ya atacó a 600 organizaciones

El secuestro de datos (ransomwarePrograma malicioso que cifra o bloquea los archivos de una víctima para exigirle un pago a cambio de devolverle el acceso.) SafePay ya atacó a por lo menos 600 organizaciones de distintos sectores de infraestructura críticaSistemas y servicios cuya interrupción afectaría gravemente a la población o a la economía, como la energía, el agua, las telecomunicaciones, la salud, el transporte y el sistema financiero. en Norteamérica, Sudamérica, Europa y Australia, según el aviso conjunto AA26-293A que publicaron el 20 de octubre el FBI, la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) y el Servicio Secreto, junto con policías de Alemania y el Reino Unido. Las agencias lo ubican entre los grupos de ransomware más activos de 2026.

El aviso, de la serie #StopRansomware, lo firman también la Oficina de Policía Criminal del estado alemán de Renania-Palatinado, la Agencia Nacional contra el Crimen del Reino Unido y una unidad regional británica contra el crimen organizado. Las investigaciones llegan hasta agosto de este año.

Entran por la puerta de la red

SafePay no necesita trucos sofisticados para entrar. Según el aviso, usa contraseñas filtradas, adivinadas a fuerza de intentos o robadas con correos falsos, y fallas conocidas de los equipos que conectan a una organización con internet, como cortafuegos y accesos por red privada virtual (VPN). Para esconder su origen se conecta a través de Mullvad, un servicio comercial de VPN.

"Los dispositivos expuestos al público con vulnerabilidades conocidas siguen siendo un blanco frecuente", dijo Chris Butera, director ejecutivo adjunto interino de ciberseguridad de la CISA, en el comunicado de la agencia. Las cinco fallas que nombra el aviso tienen parche desde hace más de un año. Dos afectan a los cortafuegos ASA y Firepower de Cisco, dos al programa de respaldos Veeam Backup & Replication y una al sistema de los cortafuegos de SonicWall. Las cinco figuran en el catálogo de fallas explotadas de la CISA.

Una vez adentro, el grupo crea cuentas o toma las existentes y se mueve por la red con herramientas legítimas de acceso remoto, como AnyDesk, TeamViewer y ScreenConnect. Así su actividad se confunde con la de un técnico de la propia empresa. Antes de cifrar, copia los datos con programas como RClone o FileZilla.

Primero borra los respaldos

El paso que más daño hace llega antes del cifrado. En algunos casos, SafePay devolvió a la configuración de fábrica los discos de red donde la víctima guardaba sus copias de seguridad y borró todos los respaldos conectados, según el aviso. También detiene el servicio de Windows que guarda versiones anteriores de los archivos. Recién entonces cifra los equipos, agrega la extensión .SafePay a cada archivo y deja una nota de rescate.

El cobro sigue el esquema de doble extorsión. El grupo pide en criptomonedas una parte de los ingresos de la empresa y, si no le pagan, publica lo robado en su sitio de filtraciones. Un representante del grupo llama por teléfono a la víctima para presionarla. Las agencias piden no pagar, porque el pago no garantiza recuperar los archivos.

Cuánto tiempo y cuántas víctimas

Las cifras no coinciden del todo entre las fuentes. El aviso habla de "al menos 600" víctimas desde agosto de 2024, el comunicado de la CISA dice "aproximadamente 600" y Brett Leatherman, subdirector de la división cibernética del FBI, dijo "más de 600". La agencia Reuters informó que unas 600 víctimas fueron afectadas "este año", un plazo más corto que el del aviso, que cuenta desde 2024. El documento primario es el aviso, y ahí el período es de algo más de dos años.

Tampoco son 600 organizaciones de infraestructura crítica, como dijeron algunos titulares. El aviso dice que las víctimas pertenecen a varios sectores de infraestructura crítica, una categoría amplia que en Estados Unidos incluye salud, manufactura y energía, pero no detalla cuáles. El medio especializado The Record ubicó a las víctimas en Estados Unidos y Europa, mientras que el aviso suma Sudamérica y Australia.

El conteo independiente de ransomware.live, que sigue los sitios de filtración, registra 594 publicaciones de SafePay en 49 países, la última el 12 de octubre.

Casi treinta casos en Latinoamérica

En la región, el sitio de filtración de SafePay muestra casi treinta organizaciones desde fines de 2024, según los listados por país de ransomware.live. Argentina suma diez, entre ellas una empresa estatal de servicios públicos y dos de salud, México siete, Colombia seis y Perú cuatro, una de ellas bajo un dominio del Estado peruano. Chile y Guatemala tienen una cada uno, y la más reciente de la región apareció el 5 de octubre. Son reclamos del propio grupo, no ataques confirmados por las víctimas, y una de las entradas de México describe en realidad a una empresa de Tailandia.

Las agencias piden actualizar primero los cortafuegos, las VPN y los servidores de respaldo expuestos a internet, exigir un segundo factor de autenticación en los accesos remotos y guardar copias de seguridad cifradas y desconectadas de la red. También recomiendan buscar cuentas desconocidas en los servidores y revisar los sistemas con los indicadores que publica el aviso.

Detalle técnico

El aviso lista CVE-2020-3259 (Cisco ASA y FTD, divulgación de información, CVSS 7,5), CVE-2023-20269 (VPN de acceso remoto de Cisco ASA y FTD, acceso sin autorización), CVE-2023-27532 (Veeam Backup & Replication, robo de credenciales, CVSS 7,5), CVE-2024-40711 (Veeam Backup & Replication, ejecución remota de código, CVSS 9,8) y CVE-2024-40766 (SonicWall SonicOS, control de acceso indebido). Para CVE-2023-20269 Cisco asigna un puntaje de 5 sobre 10 y la base NVD del gobierno estadounidense, 9,1. Para CVE-2024-40766 SonicWall asigna 9,3 y la NVD, 9,8. El cifrado combina ChaCha20 y RSA. Los indicadores de compromisoindicadores de compromiso (IoC) Rastros técnicos, como direcciones IP, nombres de archivo o huellas digitales de archivos, que permiten detectar si un sistema fue atacado por una amenaza conocida. son de entre noviembre de 2024 y agosto de 2026, y GBHackers y HIPAA Journal resumen las mitigaciones.