SafePay, un grupo de ransomware activo desde principios de 2024, ha sido identificado como responsable de compromisos en más de 600 organizaciones a nivel global. La campaña se apoya en la reutilización de credenciales robadas y en accesos VPN mal configurados para establecer una presencia persistente dentro de las redes objetivo. Además, el grupo emplea la táctica de doble extorsión, publicando datos confidenciales en foros de la dark web para forzar el pago del rescate.

Qué sabemos hasta ahora

Una coalición de agencias de seguridad, incluyendo el FBI, CISA, el US Secret Service, el Landeskriminalamt Rheinland‑Pfalz de Alemania y dos agencias de aplicación de la ley del Reino Unido, publicó esta semana un advisory conjunto que detalla la operativa de SafePay. El documento subraya que el grupo ha evolucionado su infraestructura de comando y control (C2) y que sus operadores están dispuestos a negociar directamente con las víctimas.

Los atacantes suelen iniciar la cadena de compromiso mediante phishing dirigido o mediante la compra de credenciales filtradas en mercados clandestinos. Una vez dentro, aprovechan túneles VPN para moverse lateralmente y desplegar herramientas de post‑explotación que facilitan la encriptación de archivos críticos.

"SafePay ha demostrado una capacidad notable para adaptarse a entornos con MFA débil y a configuraciones VPN que permiten el acceso remoto sin restricciones" – Advisory conjunto FBI‑CISA.

Análisis técnico

El vector inicial más frecuente es la autenticación comprometida: usuarios con contraseñas reutilizadas o expuestas son objetivo de ataques de fuerza bruta y de credenciales filtradas. Tras obtener acceso, los operadores establecen túneles SSH o RDP a través de la VPN y despliegan scripts de PowerShell que descargan payloads desde servidores C2.

Una vez dentro, la herramienta de encriptación propia de SafePay cifra los volúmenes críticos usando algoritmos AES‑256, y simultáneamente extrae bases de datos y documentos sensibles que luego se publican en sitios de extorsión. Los atacantes también utilizan herramientas de código abierto como rclone para exfiltrar datos a servicios de almacenamiento en la nube.

Para la fase de extorsión, SafePay envía notas de rescate que incluyen pruebas de los datos robados y enlaces a descargas en la dark web. La presión se incrementa mediante la amenaza de publicar la información si no se cumple el plazo establecido.

Impacto y alcance

El ransomware SafePay ha demostrado su capacidad para comprometer entornos de TI de diversa complejidad, afectando a organizaciones de sectores críticos como salud, finanzas, educación y manufactura. Los atacantes aprovechan vulnerabilidades en software de gestión de pagos y en herramientas de acceso remoto, lo que les permite desplegar la carga maliciosa una vez que logran infiltrarse en la red.

Los indicadores de compromiso (IOC) publicados por el FBI y CISA revelan que el grupo detrás de SafePay emplea técnicas de movimiento lateral y de escalada de privilegios que ya están documentadas en repositorios públicos de amenazas. Aunque no se han divulgado exploits de día cero específicos, la reutilización de herramientas y scripts de código abierto facilita que cualquier actor con conocimientos intermedios pueda replicar el ataque.

¿Cómo afecta esto a LATAM?

En América Latina, la creciente adopción de plataformas de pago digital y la integración de servicios en la nube hacen que las organizaciones de la región sean un objetivo atractivo para los operadores de SafePay. Empresas mexicanas del sector retail, bancos colombianos y proveedores de servicios de salud en Argentina ya han reportado intentos de intrusión que comparten los mismos patrones de comportamiento observados en los casos de EE. UU.

La falta de recursos especializados y la dependencia de proveedores externos para la gestión de la seguridad incrementan la exposición de estas entidades. Además, la normativa local sobre protección de datos está en proceso de alinearse con estándares internacionales, lo que genera un entorno donde la prevención y la respuesta rápida son esenciales para evitar sanciones y daños reputacionales.

Qué deben hacer los equipos de seguridad

  • Aplicar de inmediato los parches de seguridad publicados para los componentes de gestión de pagos y los clientes de escritorio remoto.
  • Revisar y reforzar las configuraciones de firewall y de segmentación de red para limitar el tráfico entre sistemas críticos y entornos menos seguros.
  • Implementar monitoreo continuo de indicadores de compromiso (IOC) específicos de SafePay, utilizando fuentes oficiales como los avisos de CISA.
  • Realizar pruebas de penetración internas enfocadas en la detección de credenciales comprometidas y en la evaluación de la resistencia a técnicas de movimiento lateral.
  • Actualizar los planes de respuesta a incidentes incorporando escenarios de ransomware que incluyan la negociación con los atacantes y la restauración a partir de copias de seguridad verificadas.
  • Capacitar al personal de TI y a los usuarios finales en la identificación de correos de phishing y en la práctica de buenas hygiene de contraseñas.

Reflexión

Si la amenaza de SafePay sigue evolucionando, ¿estamos preparados para enfrentar un escenario donde la línea entre un ataque dirigido y uno oportunista se difumina? La respuesta dependerá de la capacidad de los equipos de seguridad para anticiparse, adaptarse y, sobre todo, actuar con la rapidez que exige el ritmo de la cibercriminalidad actual.