Un avis international de cybersécurité a été identifié SafePay comme l’un des groupes de ransomware les plus actifs en 2026, avec au moins 600 organisations concernées depuis août 2024. L’avertissement a été émis par les forces de l’ordre et les agences de cybersécurité aux États-Unis, en Allemagne et au Royaume-Uni, qui ont documenté des attaques contre des entreprises et des infrastructures critiques sur quatre continents.
Publié le 20 octobre, il joint advisory fournit de nouveaux détails sur les méthodes du groupe et sa portée internationale croissante. Les enquêteurs ont suivi SafePay l’activité en Amérique du Nord, en Amérique du Sud, en Europe et en Australie, avec des attaques ciblant des organisations fournissant des services essentiels en parallèle avec des entreprises commerciales.
Contrairement à de nombreuses opérations de ransomware qui recrutent des criminels extérieurs pour mener des attaques, SafePay il est considéré comme un groupe centralisé. Ses membres utilisent plusieurs méthodes pour accéder aux réseaux d’entreprise, notamment des mots de passe volés, du phishing, des attaques de devinette de mot de passe et l’exploitation de vulnérabilités de sécurité connues dans les systèmes connectés à Internet.
Une fois qu’ils y accèdent, les attaquants tentent d’obtenir des privilèges administratifs et de se déplacer entre les appareils connectés. Ils utilisent fréquemment des outils légitimes de gestion système, permettant à des activités malveillantes d’imiter les opérations informatiques courantes. Les enquêteurs ont également observé que le groupe désactivait les logiciels de sécurité et interférait avec les systèmes de sauvegarde.
SafePay En général, il vole d’abord des informations sensibles, puis chiffre les fichiers et exige un paiement. Cette stratégie de double extorsion pose aux victimes deux problèmes : des systèmes inaccessibles et la possibilité que des documents confidentiels soient publiés en ligne.
Les criminels demandent généralement des paiements en cryptomonnaies, parfois calculés en fonction des revenus de l’organisation victime. Dans certains cas, SafePay des représentants ont également contacté les victimes par téléphone pour accroître la pression lors des négociations.
Plusieurs incidents majeurs ont été liés au groupe, notamment l’attaque de 2025 contre le distributeur technologique Ingram Micro, qui a perturbé le traitement des commandes et révélé des informations personnelles. SafePay a également revendiqué la responsabilité d’attaques impliquant le fournisseur de services commerciaux Conduent et la société technologique britannique Microlise.
Les chercheurs en sécurité ont observé SafePay maintenir un rythme constant d’attaques tout au long de 2026. Bien que son activité semble avoir atteint un pic fin 2025, le groupe continue de cibler environ 15 à 30 organisations par mois, selon des chercheurs spécialisés dans les ransomwares cités dans des rapports récents.
L’avis recommande aux organisations de renforcer la sécurité des comptes, d’exiger une authentification multifacteur, de mettre à jour les dispositifs réseau vulnérables et de maintenir des sauvegardes protégées. Les autorités avertissent également que le paiement d’une rançon ne garantit pas la restauration des informations chiffrées.