Eine internationale Cybersicherheitswarnung wurde als eine der aktivsten Ransomware-Gruppen im Jahr 2026 identifiziert SafePay , mit mindestens 600 betroffenen Organisationen seit August 2024. Die Warnung wurde von Strafverfolgungs- und Cybersicherheitsbehörden in den USA, Deutschland und dem Vereinigten Königreich herausgegeben, die Angriffe auf Unternehmen und kritische Infrastrukturen auf vier Kontinenten dokumentiert haben.
Die am 20. Oktober veröffentlichte Publikation joint advisory liefert neue Details zu den Methoden der Gruppe und zur wachsenden internationalen Reichweite. Ermittler haben Aktivitäten in Nordamerika, Südamerika, Europa und Australien verfolgt SafePay , wobei Angriffe auf Organisationen gerichtet sind, die wichtige Dienstleistungen zusammen mit kommerziellen Unternehmen anbieten.
Im Gegensatz zu vielen Ransomware-Operationen, die externe Kriminelle für Angriffe rekrutieren, SafePay wird angenommen, dass sie als zentralisierte Gruppe agiert. Ihre Mitglieder nutzen verschiedene Methoden, um in Unternehmensnetzwerke einzudringen, darunter gestohlene Passwörter, Phishing, Passwortratangriffe und die Ausnutzung bekannter Sicherheitslücken in internetbezogenen Systemen.
Sobald sie Zugang erhalten, versuchen die Angreifer, Administratorrechte zu erlangen und zwischen verbundenen Geräten zu wechseln. Sie nutzen häufig legitime Systemmanagement-Tools, die böswillige Aktivitäten ermöglichen, um routinemäßige IT-Operationen zu imitieren. Ermittler haben außerdem beobachtet, wie die Gruppe Sicherheitssoftware deaktiviert und Backup-Systeme stört.
SafePay In der Regel stiehlt sie zunächst sensible Informationen, verschlüsselt dann Dateien und fordert Bezahlung. Diese Doppelerpressungsstrategie stellt die Opfer vor zwei Probleme: unzugängliche Systeme und die Möglichkeit, dass vertrauliche Dokumente online veröffentlicht werden.
Die Kriminellen fordern in der Regel Kryptowährungszahlungen, die manchmal nach den Einnahmen der Opferorganisation berechnet werden. In bestimmten Fällen SafePay haben Vertreter auch telefonisch Kontakt mit Opfern aufgenommen, um den Druck während der Verhandlungen zu erhöhen.
Mehrere schwerwiegende Vorfälle stehen in Verbindung mit der Gruppe, darunter der Angriff 2025 auf den Technologievertrieb Ingram Micro, der die Auftragsbearbeitung störte und persönliche Informationen offenlegte. SafePay hat außerdem die Verantwortung für Angriffe auf den Geschäftsdienstleister Conduent und das britische Technologieunternehmen Microlise übernommen.
Sicherheitsforscher haben beobachtet SafePay , dass im Jahr 2026 ein stetiges Tempo der Angriffe aufrechterhalten wird. Obwohl ihre Aktivitäten offenbar Ende 2025 ihren Höhepunkt erreicht haben, zielt die Gruppe laut in jüngster Berichterstattung zitierten Ransomware-Forscher weiterhin etwa 15 bis 30 Organisationen pro Monat an.
Der Hinweis empfiehlt, dass Organisationen die Kontosicherheit stärken, Multifaktor-Authentifizierung verlangen, verwundbare Netzwerkgeräte aktualisieren und geschützte Backups pflegen. Die Behörden warnen außerdem, dass die Zahlung eines Lösegelds keine Garantie für die Wiederherstellung verschlüsselter Informationen ist.