Een internationaal cybersecurityadvies is aangewezen SafePay als een van de meest actieve ransomwaregroepen die in 2026 actief zijn, met minstens 600 organisaties die sinds augustus 2024 zijn getroffen. De waarschuwing is uitgegeven door wetshandhavings- en cyberbeveiligingsinstanties in de Verenigde Staten, Duitsland en het Verenigd Koninkrijk, die aanvallen op bedrijven en kritieke infrastructuur op vier continenten hebben gedocumenteerd.
Gepubliceerd op 20 oktober, geeft het joint advisory nieuwe details over de methoden van de groep en het toenemende internationale bereik. Onderzoekers hebben activiteiten gevolgd SafePay in Noord-Amerika, Zuid-Amerika, Europa en Australië, met aanvallen gericht op organisaties die essentiële diensten leveren naast commerciële bedrijven.
In tegenstelling tot veel ransomware-operaties die externe criminelen rekruteren om aanvallen uit te voeren, SafePay wordt aangenomen dat het als een gecentraliseerde groep opereert. De leden gebruiken verschillende methoden om bedrijfsnetwerken binnen te dringen, waaronder gestolen wachtwoorden, phishing, wachtwoordraad-aanvallen en het misbruiken van bekende beveiligingslekken in internetgeconcentreerde systemen.
Zodra ze toegang krijgen, proberen de aanvallers administratieve rechten te verkrijgen en tussen verbonden apparaten te bewegen. Ze gebruiken vaak legitieme systeembeheertools, waardoor kwaadaardige activiteiten routinematige IT-operaties kunnen nabootsen. Onderzoekers hebben ook gezien dat de groep beveiligingssoftware uitschakelt en back-upsystemen verstoort.
SafePay Meestal steelt hij eerst gevoelige informatie, versleutelt vervolgens bestanden en eist betaling. Deze dubbele afpersingsstrategie brengt slachtoffers voor twee problemen: ontoegankelijke systemen en de mogelijkheid dat vertrouwelijke documenten online worden gepubliceerd.
De criminelen vragen doorgaans om betalingen van cryptocurrency, soms berekend op basis van de inkomsten van de slachtofferorganisatie. In bepaalde gevallen SafePay hebben vertegenwoordigers ook telefonisch contact opgenomen met slachtoffers om de druk tijdens de onderhandelingen te verhogen.
Verschillende grote incidenten zijn aan de groep in verband gebracht, waaronder de aanval in 2025 op technologiedistributeur Ingram Micro, die de orderverwerking verstoorde en persoonlijke informatie blootlegde. SafePay heeft ook de verantwoordelijkheid opgeëist voor aanvallen waarbij de zakelijke dienstverlener Conduent en het Britse technologiebedrijf Microlise betrokken zijn.
Beveiligingsonderzoekers hebben in 2026 een gestage aanval van aanvallen geconstateerd SafePay . Hoewel de activiteit eind 2025 zijn piek lijkt te bereiken, blijft de groep volgens ransomwareonderzoekers die in recente rapporten worden genoemd ongeveer 15 tot 30 organisaties per maand aanvallen.
Het advies raadt organisaties aan om de accountbeveiliging te versterken, multifactorauthenticatie te vereisen, kwetsbare netwerkapparaten bij te werken en beschermde back-ups te onderhouden. Autoriteiten waarschuwen ook dat het betalen van losgeld geen garantie is op het herstel van versleutelde informatie.