Um aviso internacional de cibersegurança foi identificado SafePay como um dos grupos de ransomware mais ativos em operação em 2026, com pelo menos 600 organizações afetadas desde agosto de 2024. O alerta foi emitido por agências de segurança pública e cibersegurança nos Estados Unidos, Alemanha e Reino Unido, que documentaram ataques contra empresas e infraestrutura crítica em quatro continentes.
Publicado em 20 de outubro, o livro joint advisory traz novos detalhes sobre os métodos do grupo e o aumento do alcance internacional. Investigadores rastrearam SafePay atividades na América do Norte, América do Sul, Europa e Austrália, com ataques direcionados a organizações que oferecem serviços essenciais ao lado de negócios comerciais.
Diferente de muitas operações de ransomware que recrutam criminosos externos para realizar ataques, SafePay acredita-se que operem como um grupo centralizado. Seus membros utilizam vários métodos para entrar em redes corporativas, incluindo senhas roubadas, phishing, ataques de adivinhação de senha e exploração de vulnerabilidades de segurança conhecidas em sistemas voltados para a internet.
Uma vez que obtêm acesso, os atacantes tentam obter privilégios administrativos e se mover entre dispositivos conectados. Eles frequentemente utilizam ferramentas legítimas de gerenciamento de sistemas, permitindo que atividades maliciosas imitem operações rotineiras de TI. Investigadores também observaram o grupo desativando softwares de segurança e interferindo nos sistemas de backup.
SafePay Normalmente, primeiro rouba informações sensíveis, depois criptografa arquivos e exige pagamento. Essa estratégia de dupla extorsão apresenta às vítimas dois problemas: sistemas inacessíveis e a possibilidade de que documentos confidenciais sejam publicados online.
Os criminosos geralmente solicitam pagamentos em criptomoedas, às vezes calculados de acordo com a receita da organização vítima. Em certos casos, SafePay representantes também entraram em contato com as vítimas por telefone para aumentar a pressão durante as negociações.
Vários incidentes graves foram ligados ao grupo, incluindo o ataque de 2025 ao distribuidor de tecnologia Ingram Micro, que interrompeu o processamento de pedidos e expôs informações pessoais. SafePay também reivindicou a responsabilidade por ataques envolvendo a provedora de serviços empresariais Conduent e a empresa britânica de tecnologia Microlise.
Pesquisadores de segurança observaram SafePay manter um ritmo constante de ataques ao longo de 2026. Embora sua atividade pareça ter atingido o pico no final de 2025, o grupo continuou mirando aproximadamente de 15 a 30 organizações por mês, segundo pesquisadores de ransomware citados em reportagens recentes.
O aviso recomenda que as organizações fortaleçam a segurança das contas, exijam autenticação multifator, atualizem dispositivos vulneráveis de rede e mantenham backups protegidos. As autoridades também alertam que pagar um resgate não garante a restauração das informações criptografadas.