Un avviso internazionale sulla cybersecurity è stato identificato SafePay come uno dei gruppi ransomware più attivi operativi nel 2026, con almeno 600 organizzazioni colpite dall’agosto 2024. L’avviso è stato emesso dalle forze dell’ordine e dalle agenzie di cybersecurity negli Stati Uniti, in Germania e nel Regno Unito, che hanno documentato attacchi contro aziende e infrastrutture critiche in quattro continenti.
Pubblicato il 20 ottobre, fornisce joint advisory nuovi dettagli sui metodi del gruppo e sull’aumento della portata internazionale. Gli investigatori hanno monitorato SafePay attività in Nord America, Sud America, Europa e Australia, con attacchi rivolti a organizzazioni che forniscono servizi essenziali insieme a imprese commerciali.
A differenza di molte operazioni ransomware che reclutano criminali esterni per effettuare attacchi, SafePay si ritiene operi come un gruppo centralizzato. I suoi membri utilizzano diversi metodi per entrare nelle reti aziendali, tra cui password rubate, phishing, attacchi per indovinare password e sfruttamento di vulnerabilità di sicurezza note nei sistemi orientati a internet.
Una volta ottenuti l’accesso, gli attaccanti tentano di ottenere privilegi amministrativi e di spostarsi tra dispositivi connessi. Spesso utilizzano strumenti legittimi di gestione del sistema, permettendo ad attività dannose di imitare le operazioni IT di routine. Gli investigatori hanno anche osservato il gruppo disabilitare software di sicurezza e interferire con i sistemi di backup.
SafePay Tipicamente prima ruba informazioni sensibili, poi cripta i file e richiede il pagamento. Questa strategia di doppia estorsione presenta alle vittime due problemi: sistemi inaccessibili e la possibilità che documenti riservati vengano pubblicati online.
I criminali generalmente richiedono pagamenti in criptovalute, talvolta calcolati in base ai ricavi dell’organizzazione vittima. In alcuni casi, SafePay i rappresentanti hanno anche contattato le vittime telefonicamente per aumentare la pressione durante le trattative.
Diversi episodi importanti sono stati collegati al gruppo, incluso l’attacco del 2025 al distributore tecnologico Ingram Micro, che ha interrotto l’elaborazione degli ordini ed esposto informazioni personali. SafePay ha inoltre rivendicato la responsabilità di attacchi che hanno coinvolto il fornitore di servizi aziendali Conduent e la società tecnologica britannica Microlise.
I ricercatori di sicurezza hanno osservato SafePay mantenere un ritmo costante di attacchi per tutto il 2026. Sebbene la sua attività sembri aver raggiunto il picco alla fine del 2025, il gruppo ha continuato a prendere di mira circa 15-30 organizzazioni al mese, secondo i ricercatori ransomware citati in recenti rapporti.
L’avviso raccomanda alle organizzazioni di rafforzare la sicurezza degli account, richiedere l’autenticazione multifattore, aggiornare dispositivi di rete vulnerabili e mantenere backup protetti. Le autorità avvertono inoltre che pagare un riscatto non garantisce il ripristino delle informazioni criptate.