De SafePay ransomwaregroep heeft sinds augustus 2024 meer dan 600 organisaties in de VS en Europa getroffen via phishing, wachtwoordgissingen en kwetsbaarheden.
De SafePay ransomwaregroep wordt door de FBI en internationale opsporingsdiensten beschouwd als een van de meest actieve ransomwaregroepen in 2026. Sinds augustus 2024 zijn meer dan 600 organisaties in de Verenigde Staten en Europa getroffen, zo blijkt uit een recente waarschuwing van internationale wetshandhavingsinstanties.
SafePay richt zich op bedrijven en kritieke infrastructuur door middel van technieken zoals het raden van wachtwoorden, het misbruiken van kwetsbaarheden en phishingaanvallen. De waarschuwing is gebaseerd op meerdere onderzoeken van de FBI en Duitse opsporingsdiensten, waarbij de laatste aanval in augustus plaatsvond. De groep maakt gebruik van diverse kwetsbaarheden, waaronder CVE-2020-3259, CVE-2023-20269, CVE-2023-27532, CVE-2024-40711 en CVE-2024-40766.
Eenmaal binnen het netwerk vestigen de aanvallers controle door nieuwe accounts aan te maken of bestaande accounts over te nemen. Vervolgens gebruiken zij legitieme systeemtools om zich door het netwerk te bewegen, waardevolle bestanden te identificeren en beveiligingsmaatregelen uit te schakelen om detectie te voorkomen. SafePay zet ook geautomatiseerde scripts in om kwetsbaarheden op internet-blootgestelde systemen te exploiteren. Soms wijzigen de aanvallers de wachtwoorden van systeemgebruikers om hun toegang te bemoeilijken en de activiteiten te blokkeren.
De groep gebruikt legitieme tools zoals AnyDesk en TeamViewer om ransomware op systemen te plaatsen. SafePay houdt doorgaans de versleutelde data gegijzeld en eist een deel van de bedrijfsomzet in cryptocurrency in ruil voor de decryptiesleutel. Om druk op het slachtoffer uit te oefenen, neemt een vertegenwoordiger namens de groep telefonisch contact op. Op de leksite van SafePay staan momenteel tientallen Duitse bedrijven en overheidsorganisaties uit Latijns-Amerika en de VS vermeld.
Onderzoekers merken op dat delen van de code van SafePay lijken op die van de grotendeels inactieve ransomwaregroep LockBit, die eerder verantwoordelijk was voor honderden aanvallen. SafePay heeft recentelijk de verantwoordelijkheid opgeëist voor aanvallen op een van de grootste IT-product- en dienstverleners in de VS, het Britse technologiebedrijf Microlise en de Amerikaanse overheidscontractant Conduent. De aanval op Conduent veroorzaakte aanzienlijke schade vanwege de rol van het bedrijf in Medicaid, kinderbijslag, voedselhulp en tolwegen. Conduent heeft afgelopen vrijdag een schikking van 80 miljoen dollar aangekondigd naar aanleiding van een collectieve rechtszaak na de ransomware-aanval, zoals bekendgemaakt.
