Группа вымогателей SafePay с августа 2024 года затронула не менее 600 организаций в Северной и Южной Америке, Европе и Австралии. Масштаб кампании зафиксировали CISA, ФБР, Секретная служба США и правоохранительные органы Германии и Великобритании в совместном предупреждении от 20 октября. Среди целей есть предприятия критической инфраструктуры; это накопленный итог с 2024 года, а не число жертв только за 2026-й.

Для первоначального доступа SafePay использует украденные или подобранные учётные данные, фишинг и известные уязвимости во внешних системах. Ведомства перечислили пять таких ошибок в Cisco ASA и Firepower Threat Defense, Veeam Backup & Replication и SonicWall SonicOS: CVE-2020-3259, CVE-2023-20269, CVE-2023-27532, CVE-2024-40711 и CVE-2024-40766.

После проникновения злоумышленники создают новые учётные записи или захватывают существующие, перемещаются по сети с помощью обычных средств удалённого администрирования, крадут данные и шифруют системы. Затем жертвам угрожают публикацией информации, а в отдельных случаях ещё и звонят напрямую, усиливая давление.

Список входных точек примечателен отсутствием новых уязвимостей нулевого дня: самая старая из названных ошибок датируется 2020 годом, самая новая — 2024-м. Поэтому предупреждение сводит масштаб кампании не к одному необычному эксплойту, а к повторяющейся комбинации старых непоставленных исправлений и слабой защиты удалённого доступа. Ведомства рекомендуют обновить пограничные устройства, включить многофакторную аутентификацию и ограничить административные инструменты. Разбивки 600 жертв по странам и оценки общего ущерба в документе нет.