Una alerta conjunta liderada por agencias de seguridad e inteligencia de EE.UU, Reino Unido y Alemania ha puesto bajo el foco la vertiginosa expansión del grupo de cibercrimen SafePay.
Tras una intensa actividad que se remonta a agosto de 2024, este actor especializado en secuestro de datos se ha consolidado como “uno de los grupos de ransomware más activos de 2026”, acumulando un rastro de destrucción que afecta al menos a 600 empresas e infraestructuras críticas en Norteamérica, Sudamérica, Europa y Australia. En España han tenido dos víctimas en los últimos meses.
El documento, coordinado por el FBI, CISA, el Servicio Secreto de EE.UU., la Landeskriminalamt Rheinland-Pfalz alemana y la Agencia Nacional del Crimen británica, dibuja el retrato robot de una amenaza altamente metódica y versátil.
A diferencia de otros grupos que buscan el impacto mediático rápido, SafePay destaca por su flexibilidad táctica en la fase de infiltración. Así, recurren al robo o adivinación de credenciales, ataques de fuerza bruta contra redes privadas virtuales (VPN) y al aprovechamiento sistemático de vulnerabilidades conocidas en dispositivos perimetrales.
Una vez que consiguen penetrar en las defensas corporativas, los atacantes despliegan una estrategia sutil orientada a garantizar la permanencia dentro del sistema.
Para no levantar sospechas, aplican técnicas clasificadas como living off the land (LOTL), es decir, “utilizan herramientas legítimas del propio sistema para desplazarse por la red, identificar archivos valiosos y desactivar las protecciones de seguridad para evitar ser detectados”.
Esta táctica se complementa con la desactivación directa de software antivirus, la alteración de contraseñas de usuarios legítimos para impedir el acceso a los administradores e incluso la ejecución de binarios ocultos bajo empaquetado de software o entornos virtuales.
Posteriormente, SafePay consolida y comprime los datos sensibles del objetivo antes de enviarlos a servidores bajo su control o a servicios en la nube. Inmediatamente después, ejecutan “un sofisticado esquema de cifrado híbrido para bloquear la información”, combinando el cifrado de flujo ChaCha20 con el sistema de clave pública RSA, según advierten las agencias.
Para ahogar cualquier intento de recuperación sin pasar por caja, los delincuentes detienen los servicios de copias de seguridad en sombra (Volume Shadow Copy) y restauran los dispositivos de almacenamiento en red (NAS) a sus ajustes de fábrica originales.
Este colectivo es fiel seguidor del esquema de doble extorsión. SafePay deja una nota de rescate que exige pagos en criptomonedas proporcionales a los ingresos de la víctima, canalizando el contacto a través de un portal en la red TOR.
Si la presión técnica no basta, representantes de la banda realizan llamadas telefónicas para forzar la negociación. Ante la negativa a pagar, el grupo publica el material sustraído en su sitio web de filtraciones, consumando el chantaje reputacional y regulatorio.
Qué puedes hacer si eres su víctima
Ante esta oleada de incidentes, las autoridades internacionales han reiterado su recomendación rotunda contra el pago de rescates, subrayando que no garantiza la recuperación de los datos y financia directamente la estructura del cibercrimen organizado.
La directiva urge a las organizaciones a priorizar el parcheo urgente de vulnerabilidades en dispositivos expuestos a Internet, implantar políticas de arquitectura Zero Trust, exigir autenticación multifactor (MFA) de forma generalizada y mantener copias de seguridad desconectadas (offline) e inmutables para mitigar el impacto de posibles intrusiones.
Deja un comentario