Co się wydarzyło
Ostrzeżenie AA26-293A opisuje SafePay jako jedną z najaktywniejszych grup ransomware. Nie wyróżnia jej żadna przełomowa technika – skuteczność opiera się na podstawowych słabościach: poświadczeniach, dostępie VPN i niezałatanych urządzeniach brzegowych. Dokument zawiera opis taktyk i rekomendacje oparte na Cybersecurity Performance Goals 2.0 CISA.
Najważniejsze ustalenia
- Wejście: ujawnione poświadczenia i ataki brute force na hasła, dostęp przez VPN (m.in. z adresów kojarzonych z dostawcą Mullvad), przejęte w phishingu konta oraz automatyczne skrypty wykorzystujące podatności urządzeń brzegowych.
- Przed szyfrowaniem SafePay usuwa kopie woluminów w tle (shadow copies) i resetuje urządzenia NAS z kopiami zapasowymi, by utrudnić odtworzenie.
- Podwójne wymuszenie: kradzież danych, szyfrowanie, groźba publikacji – a czasem bezpośrednie telefony do ofiar.
- Zalecenia: szybkie łatanie VPN, firewalli i innych urządzeń brzegowych, ze szczególnym uwzględnieniem podatności z katalogu KEV, polityki zarządzania tożsamością i MFA oraz ograniczenie narzędzi i uprawnień administracyjnych.
Dlaczego to ważne
SafePay to dobry przykład tego, że ransomware rzadko potrzebuje zaawansowanych narzędzi. Wystarczą hasło z wycieku, VPN bez MFA albo urządzenie brzegowe łatane z opóźnieniem – czyli dokładnie te słabości, które ENISA wskazuje w raporcie za 2025 r.
Praktyczny test dla każdej organizacji: czy każde konto VPN i każdy dostęp zdalny wymaga MFA odpornego na phishing, czy wiesz, które urządzenia brzegowe mają otwarte podatności z KEV, i czy kopie zapasowe są poza zasięgiem konta administratora – odizolowane i niezmienne. Kopia, którą może usunąć przejęte konto, nie chroni przed ransomware. Do tego potrzebny jest monitoring, który zauważy masowe usuwanie kopii w tle o 3 w nocy.