Un aviso internacional de ciberseguridad ha sido identificado SafePay como uno de los grupos de ransomware más activos en funcionamiento en 2026, con al menos 600 organizaciones afectadas desde agosto de 2024. La advertencia ha sido emitida por agencias de seguridad y seguridad en Estados Unidos, Alemania y Reino Unido, que han documentado ataques contra empresas e infraestructuras críticas en cuatro continentes.
Publicado el 20 de octubre, ofrece joint advisory nuevos detalles sobre los métodos del grupo y su creciente alcance internacional. Los investigadores han seguido SafePay la actividad en Norteamérica, Sudamérica, Europa y Australia, con ataques dirigidos a organizaciones que prestan servicios esenciales junto con empresas comerciales.
A diferencia de muchas operaciones de ransomware que reclutan delincuentes externos para realizar ataques, SafePay se cree que opera como un grupo centralizado. Sus miembros utilizan varios métodos para acceder a redes corporativas, incluyendo contraseñas robadas, phishing, ataques para adivinar contraseñas y la explotación de vulnerabilidades de seguridad conocidas en sistemas conectados a internet.
Una vez que obtienen acceso, los atacantes intentan obtener privilegios administrativos y moverse entre dispositivos conectados. Frecuentemente utilizan herramientas legítimas de gestión del sistema, permitiendo que actividades maliciosas imiten operaciones rutinarias de TI. Los investigadores también han observado que el grupo desactiva software de seguridad e interfiere con los sistemas de respaldo.
SafePay Normalmente primero roba información sensible, luego cifra archivos y exige el pago. Esta estrategia de doble extorsión presenta a las víctimas dos problemas: sistemas inaccesibles y la posibilidad de que documentos confidenciales se publiquen en línea.
Los delincuentes generalmente solicitan pagos en criptomonedas, a veces calculados según los ingresos de la organización víctima. En ciertos casos, SafePay los representantes también han contactado con las víctimas por teléfono para aumentar la presión durante las negociaciones.
Varios incidentes importantes han sido vinculados al grupo, incluido el ataque de 2025 al distribuidor tecnológico Ingram Micro, que interrumpió el procesamiento de pedidos y expuso información personal. SafePay también ha reivindicado la responsabilidad de ataques que involucraron al proveedor de servicios empresariales Conduent y a la empresa tecnológica británica Microlise.
Los investigadores de seguridad han observado SafePay mantener un ritmo constante de ataques a lo largo de 2026. Aunque su actividad parece haber alcanzado su máximo a finales de 2025, el grupo ha seguido dirigiéndose a aproximadamente entre 15 y 30 organizaciones al mes, según investigadores de ransomware citados en informes recientes.
El aviso recomienda que las organizaciones refuercen la seguridad de las cuentas, exijan autenticación multifactor, actualicen dispositivos de red vulnerables y mantengan copias de seguridad protegidas. Las autoridades también advierten que pagar un rescate no garantiza la restauración de la información cifrada.