Международное предупреждение по кибербезопасности определило SafePay одну из самых активных групп вымогателей, действующих в 2026 году, с как минимум 600 организациями, пострадавшими с августа 2024 года. Предупреждение было выпущено правоохранительными органами и кибербезопасностью США, Германии и Великобритании, которые задокументировали атаки на бизнес и критически важную инфраструктуру на четырёх континентах.
Опубликованный 20 октября, он joint advisory содержит новые сведения о методах группы и расширении международного охвачения. Следователи отслеживают SafePay активность в Северной и Южной Америке, Европе и Австралии, атаки, направленные против организаций, предоставляющих жизненно важные услуги наряду с коммерческими компаниями.
В отличие от многих программ-вымогателей, которые привлекают внешних преступников для проведения атак, SafePay считается, что она работает как централизованная группа. Её члены используют различные способы проникновения в корпоративные сети, включая украденные пароли, фишинг, атаки на угадывания паролей и эксплуатацию известных уязвимостей безопасности в системах, выходящих в интернет.
Получив доступ, злоумышленники пытаются получить административные права и перемещаться между подключёнными устройствами. Они часто используют легитимные инструменты управления системой, позволяя вредоносной деятельности имитировать рутинные ИТ-операции. Следователи также наблюдали, как группа отключает программное обеспечение безопасности и вмешивается в системы резервного копирования.
SafePay Обычно сначала крадёт конфиденциальную информацию, затем шифрует файлы и требует оплату. Такая стратегия двойного вымогательства ставит жертв перед двумя проблемами: недоступными системами и возможностью публикации конфиденциальных документов в интернете.
Преступники обычно запрашивают платежи в криптовалюте, иногда рассчитываемые с учетом доходов организации жертв. В некоторых случаях SafePay представители также связывались с жертвами по телефону, чтобы усилить давление во время переговоров.
С группой связаны несколько крупных инцидентов, включая атаку 2025 года на дистрибьютора технологий Ingram Micro, которая нарушила обработку заказов и раскрыла личную информацию. SafePay также взяла на себя ответственность за атаки, связанные с поставщиком бизнес-услуг Conduent и британской технологической компанией Microlise.
Исследователи безопасности наблюдали SafePay стабильный темп атак в течение 2026 года. Хотя активность, по-видимому, достигла пика в конце 2025 года, группа продолжает нацеливаться примерно на 15–30 организаций в месяц, согласно исследователям в области вымогателей, цитируемых в недавних отчётах.
В сообщении рекомендуется организациям усиливать безопасность аккаунта, требовать многофакторную аутентификацию, обновлять уязвимые сетевые устройства и поддерживать защищённые резервные копии. Власти также предупреждают, что выплата выкупа не гарантирует восстановление зашифрованной информации.