Aviso conjunto de seis agencias: el ransomware SafePay ha atacado al menos a 600 organizaciones de infraestructura crítica desde agosto de 2024

En 30 segundos

Seis agencias de EE. UU., Alemania y Reino Unido han publicado un aviso conjunto sobre SafePay, al que atribuyen al menos 600 víctimas de sectores de infraestructura crítica desde agosto de 2024.

• Qué ha pasado: el 20 de octubre la CISA difundió el aviso #StopRansomware AA26-293A, con las técnicas del grupo y cinco vulnerabilidades conocidas en VPN, cortafuegos y software de copias de seguridad.
• A quién afecta: organizaciones de Norteamérica, Sudamérica, Europa y Australia, en especial las que tienen equipos Cisco ASA/FTD, SonicWall o servidores Veeam Backup & Replication sin parchear.
• Qué hacer ahora: parchear esas cinco CVE, todas en el catálogo KEV de CISA, exigir MFA en los accesos remotos y comprobar que las copias de seguridad están aisladas y fuera de línea.

Qué ha pasado

Firman el aviso la CISA, el FBI y el Servicio Secreto de EE. UU. con la policía criminal del estado alemán de Renania-Palatinado (LKA Rheinland-Pfalz), la National Crime Agency británica y la unidad regional contra el crimen organizado del noroeste de Inglaterra. Según el boletín oficial de la CISA, SafePay ha afectado a empresas e infraestructuras críticas en cuatro regiones, «incluidas al menos 600 organizaciones de múltiples sectores de infraestructura crítica desde agosto de 2024». Las agencias lo describen como uno de los grupos de ransomware más activos.

Como detalla BleepingComputer, las técnicas proceden de investigaciones del FBI, el Servicio Secreto y el LKA sobre actividad observada entre noviembre de 2024 y agosto de 2026. Para entrar, el grupo usa credenciales expuestas, fuerza bruta contra contraseñas, accesos VPN, en particular desde direcciones IP del proveedor Mullvad, cuentas obtenidas por phishing y scripts automatizados contra vulnerabilidades de dispositivos perimetrales y otros sistemas expuestos a Internet.

Según el boletín, los atacantes pueden borrar las instantáneas de volumen y restablecer de fábrica los NAS que guardan copias de seguridad. Practican la doble extorsión y, en algunos casos, llaman por teléfono a la víctima. Según The Record, que cita el aviso, piden «una parte de los ingresos de la empresa» en criptomonedas.

• Agosto de 2024: aparición del grupo, según la CISA (NCC Group lo sitúa activo desde noviembre de 2024).
• Mayo de 2025: NCC Group lo señala como el grupo más activo del mes, con 70 ataques (18 % del total).
• Principios de septiembre de 2026: Deutsche Telekom detecta actividad de SafePay y limpia un sistema de pruebas de T-Systems.
• 5 de octubre de 2026: comienzan los intentos de extorsión a T-Systems, según la empresa.
• 16 de octubre de 2026: Conduent acuerda un fondo de 80 millones de dólares para cerrar una demanda colectiva por su brecha.
• 20 de octubre de 2026: la CISA publica el aviso AA26-293A.

Lo que está confirmado y lo que no

La página completa del aviso no se ha podido consultar directamente; lo verificado procede del boletín oficial de la CISA y de los medios citados.

• Confirmado (boletín de la CISA): al menos 600 organizaciones desde agosto de 2024. Los titulares de «más de 600» o que limitan el alcance a EE. UU. y Europa no se ajustan al texto oficial.
• Confirmado (NVD y CISA KEV, según los datos de Orbitaley): las cinco CVE que la prensa cita del aviso, CVE-2020-3259, CVE-2023-20269, CVE-2023-27532, CVE-2024-40711 y CVE-2024-40766, figuran en el KEV con uso conocido en ransomware.
• Sin confirmar: si la lista de CVE es más larga; The Record añade «y otras».
• Confirmado por la empresa: Deutsche Telekom dijo a Cybernews que halló ransomware en «un pequeño sistema de pruebas», lo aisló y limpió, y que lo robado son sobre todo diapositivas y archivos de registro sin información sensible.
• No confirmado por la empresa: la autoría de SafePay en el incidente de Conduent. The Record dice que el grupo lo reivindicó; el 8-K de Conduent habla de un incidente de enero de 2025 (la prensa lo fecha en noviembre de 2024), no nombra al grupo y la empresa niega culpa o responsabilidad.
• En disputa: BleepingComputer y Cybernews describen un grupo cerrado sin afiliados; un extracto de la ficha del Centro Vasco de Ciberseguridad lo llama RaaS.
• Hipótesis, no atribución: los vínculos con LockBit, ALPHV, INC o Conti que mencionan NCC Group, The Record y Cybernews.

Por qué importa

SafePay apunta a lo que una organización necesita para recuperarse. Dos de las CVE afectan a Veeam Backup & Replication: CVE-2024-40711 (CVSS 9.8) permite ejecución remota de código (RCE) sin autenticar y CVE-2023-27532 permite obtener credenciales cifradas de su base de datos de configuración. Según los datos de Orbitaley, FIRST les asigna una probabilidad de explotación en 30 días del 90,4 % y el 81,3 %, y ambas tienen exploits públicos registrados.

Las otras tres están en la puerta de entrada: CVE-2020-3259 y CVE-2023-20269 en Cisco ASA y Firepower Threat Defense (la segunda, en la VPN de acceso remoto, facilita la fuerza bruta de credenciales) y CVE-2024-40766 (CVSS 9.8) en la gestión de SonicWall SonicOS. CISA las añadió al KEV entre 2023 y 2024: el grupo explota equipos que llevan tiempo sin parchear.

Según la ficha de Orbitaley, SafePay también entra por cortafuegos Fortinet mal configurados que permiten eludir la MFA de la VPN, RDP expuesto, bombardeo de correo seguido de llamadas por Microsoft Teams suplantando al soporte técnico y compra de accesos, y suele pasar del acceso al cifrado en uno o dos días. Según BleepingComputer, solo publica a quienes no pagan, por lo que el número real de víctimas sería mayor.

Qué pueden hacer las organizaciones

Las acciones clave del boletín oficial son parchear priorizando VPN, cortafuegos y dispositivos perimetrales del KEV, reforzar la gestión de identidades y accesos (ICAM) con MFA y limitar las herramientas de administración a quien las necesite.

• Veeam: aplicar las correcciones de los avisos KB4424 (CVE-2023-27532) y KB4649 (CVE-2024-40711) y verificar las versiones en la documentación del fabricante.
• SonicWall: según NVD, CVE-2024-40766 afecta a equipos Gen 5 y Gen 6 y a Gen 7 con SonicOS 7.0.1-5035 o anterior; revisar el aviso SNWLID-2024-0015. Para Cisco ASA/FTD, consultar los avisos de Cisco.
• Registros: intentos repetidos de autenticación contra la VPN, inicios de sesión desde IP de Mullvad, cuentas nuevas o cambios de contraseña no solicitados, paradas del servicio de instantáneas y restablecimientos de NAS.
• Exfiltración: Rclone, WinRAR, 7-Zip o FileZilla donde no deberían estar, según la ficha de Orbitaley; el texto del aviso recogido por la prensa añade WinSCP, AnyDesk y TeamViewer.
• Copias de seguridad fuera de línea, cifradas, inmutables y en ubicación separada, con restauraciones probadas, según el resumen de Infosecurity Magazine.
• Indicadores: el aviso incluye IOC de red y un fichero STIX; revisarlos en contexto antes de bloquear, porque la tabla no se ha podido verificar en la fuente primaria.
• Mitigaciones ATT&CK que más técnicas del grupo cubren, según la ficha de Orbitaley: M1026, M1027, M1018, M1017, M1042 y M1015.
• Denunciar los incidentes: las agencias recuerdan que pagar no garantiza recuperar los archivos.

Qué vigilar ahora

Falta el desglose de las 600 víctimas por país, sector y tamaño, y ninguna víctima concreta se ha vinculado oficialmente al aviso. No consta que las investigaciones hayan derivado en detenciones ni hay comunicado propio del LKA o de la NCA.

Conviene seguir si Conduent atribuye su incidente a SafePay y aclara la fecha, si el texto completo del aviso confirma más CVE y cómo evoluciona la explotación de los fallos de Veeam con exploits públicos. En España, Escudo Digital ha informado de reivindicaciones contra dos empresas, sin confirmación de estas.

Vulnerabilidades (5)