O ransomwareSafePayse tornou uma das ameaças mais preocupantes para a segurança de redes corporativas e serviços essenciais. Em uma campanha que ganhou força desde 2024, o grupo criminoso passou a comprometer organizações de diferentes setores, utilizando credenciais roubadas, acessos VPN vulneráveis e técnicas de extorsão digital. O número de vítimas publicamente associado à operação já ultrapassa 600 organizações, evidenciando a dimensão internacional da ameaça.
O avanço do SafePay chama a atenção de autoridades de segurança cibernética, incluindo aAgência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA)e oFBI. As técnicas empregadas pelo grupo reforçam preocupações recorrentes em alertas de segurança: a exposição de dispositivos de rede à internet, a ausência de autenticação multifator e a dificuldade das empresas em detectar movimentações maliciosas dentro de seus ambientes.
A expansão dessa operação também ocorre em um momento de reorganização do ecossistema de ransomware, após ações policiais e disputas internas enfraquecerem grupos conhecidos, comoLockBit e BlackCat (ALPHV). Para administradores de sistemas, profissionais de infraestrutura e equipes de segurança, compreender o funcionamento do SafePay é essencial para reduzir riscos e preparar respostas eficientes a possíveis incidentes.
O que é o ransomware SafePay e como ele opera
O SafePayé uma operação criminosa especializada em ransomware, modalidade de ataque que utiliza criptografia maliciosa para impedir o acesso a arquivos e sistemas, exigindo pagamento pela recuperação dos dados.
Identificado em 2024, o grupo ganhou notoriedade pela rapidez de suas campanhas e pela capacidade de atingir empresas de diferentes portes. Diferentemente de operações que utilizam amplamente o modeloRansomware as a Service(RaaS), no qual afiliados independentes executam invasões em troca de uma porcentagem dos pagamentos, o SafePay é descrito por pesquisadores como uma estrutura mais centralizada.
Esse modelo permite que seus operadores mantenham maior controle sobre a seleção de vítimas, a execução das invasões e as negociações posteriores. Entretanto, a estrutura interna de uma organização criminosa não é totalmente verificável a partir de suas atividades públicas.
Outra característica importante é a utilização dadupla extorsão. Nesse método, os invasores não se limitam a criptografar os arquivos das vítimas. Antes disso, procuram extrair informações confidenciais para utilizá-las como instrumento adicional de pressão.
Mesmo organizações que conseguem restaurar seus sistemas por meio de backups podem enfrentar ameaças de divulgação de documentos financeiros, informações pessoais, contratos e outros registros corporativos.
Alcance global e foco em infraestrutura crítica
A atividade atribuída ao SafePay alcança organizações naAmérica do Norte, América do Sul, Europa e Austrália, demonstrando que suas operações não estão restritas a uma única região geográfica.
Entre os setores potencialmente expostos estão manufatura, saúde, serviços empresariais, tecnologia, logística e atividades relacionadas à infraestrutura crítica. O comprometimento de empresas que prestam serviços essenciais pode provocar consequências que ultrapassam os prejuízos financeiros imediatos.
Em ambientes hospitalares, por exemplo, uma interrupção pode afetar sistemas administrativos e plataformas utilizadas no atendimento. No setor industrial, a indisponibilidade de servidores corporativos pode comprometer processos de produção, distribuição e comunicação.
O grupo também mantém uma estrutura de divulgação de vítimas nadark web, utilizada para publicar alegações de invasão e pressionar organizações durante negociações.
É importante observar quea presença de uma empresa em uma página de vazamentos não comprova, isoladamente, a extensão do comprometimento. Da mesma forma, o número superior a 600 organizações associadas ao SafePay não significa necessariamente que todas sejam operadoras de infraestrutura crítica ou que cada alegação tenha sido confirmada independentemente.
Estratégias de invasão e exploração de VPNs
Um dos aspectos mais relevantes dos ataques do SafePay é o aproveitamento de fragilidades em mecanismos de acesso remoto.
As redes privadas virtuais (VPNs)são amplamente utilizadas para conectar funcionários, fornecedores e administradores aos sistemas internos das organizações. Entretanto, quando configuradas inadequadamente ou protegidas por credenciais comprometidas, podem se transformar em pontos de entrada para invasores.
Entre os principais métodos de acesso inicial associados a campanhas desse tipo estão:
- Credenciais vazadas:utilização de nomes de usuário e senhas obtidos em incidentes anteriores ou comercializados em mercados clandestinos.
- Ataques de força bruta:tentativas automatizadas de autenticação contra serviços expostos, especialmente quando não existem mecanismos adequados de bloqueio.
- Exploração de vulnerabilidades:aproveitamento de falhas conhecidas em dispositivos VPN, firewalls e outros equipamentos de borda.
- Ausência de autenticação multifator (MFA):possibilidade de acessar contas corporativas utilizando apenas uma senha comprometida.
- Contas privilegiadas desprotegidas:utilização indevida de credenciais administrativas para ampliar o controle sobre a infraestrutura.
O risco aumenta quando equipamentos de borda permanecem sem atualizações de segurança ou utilizam interfaces administrativas acessíveis diretamente pela internet.
Após obter acesso inicial, os criminosos podem realizar reconhecimento da rede, identificar servidores importantes e procurar credenciais que permitam alcançar outros dispositivos.
Essa etapa, conhecida comomovimentação lateral, é particularmente perigosa em ambientes corporativos que não possuem segmentação adequada entre estações de trabalho, servidores e sistemas críticos.
Como o ransomware SafePay compromete sistemas e backups
Depois de estabelecer presença na rede, os operadores do SafePay procuram ampliar seus privilégios e identificar os ativos mais valiosos da organização.
O objetivo é alcançar servidores de arquivos, sistemas de autenticação, plataformas de virtualização e repositórios de informações confidenciais. Quanto maior o número de serviços comprometidos, maior tende a ser a pressão exercida sobre a vítima.
Uma das técnicas frequentemente observadas em ataques de ransomware envolve a tentativa deexcluir cópias de sombra do Windows, utilizadas pelo sistema operacional para manter versões anteriores de determinados arquivos.
A remoção dessas cópias reduz as possibilidades de recuperação rápida e pode aumentar a dependência de backups externos.
Os criminosos também podem tentar interromper serviços de segurança, desativar mecanismos de proteção e comprometer sistemas responsáveis pelas rotinas de backup.
Em ambientes virtualizados, a indisponibilidade de servidores de gerenciamento ou repositórios de armazenamento pode ampliar significativamente o impacto operacional.
Por que os backups também se tornam alvos
Durante muito tempo, manter cópias de segurança foi considerado o principal mecanismo de recuperação após ataques de ransomware. Embora continue sendo indispensável, essa medida isolada já não é suficiente.
Os grupos criminosos procuram identificar repositórios de backup conectados à rede e contas administrativas capazes de modificar ou excluir pontos de restauração.
Quando os backups compartilham as mesmas credenciais e permissões utilizadas no ambiente de produção, um invasor com privilégios elevados pode comprometer tanto os sistemas originais quanto suas cópias.
Por isso, organizações devem adotar estratégias que combinembackups imutáveis, armazenamento isolado e testes periódicos de restauração.
A regra3-2-1, que prevê três cópias dos dados, em dois tipos de armazenamento e pelo menos uma fora do ambiente principal, continua sendo uma referência útil. Entretanto, deve ser complementada por controles contra exclusão indevida e acesso não autorizado.
Recomendações da CISA para reduzir os riscos do ransomware SafePay
As orientações de prevenção e resposta divulgadas pelaCISA, peloFBIe por outras autoridades de segurança cibernética destacam medidas que podem reduzir a exposição das organizações a operações como o SafePay.
A prioridade deve ser proteger os mecanismos de acesso inicial, limitar privilégios administrativos e garantir que a empresa consiga identificar comportamentos suspeitos antes da criptografia dos arquivos.
Reforçar a autenticação multifator e o controle de identidades
A implementação deautenticação multifator (MFA)é uma das medidas mais importantes para proteger VPNs, sistemas administrativos, serviços em nuvem e plataformas de acesso remoto.
Sempre que possível, organizações devem priorizar métodos resistentes aphishing, como autenticação baseada emFIDO2/WebAuthn, em vez de depender exclusivamente de códigos enviados por SMS.
Também é necessário revisar as políticas degerenciamento de identidade, credenciais e acesso (ICAM), eliminando contas desnecessárias, restringindo privilégios e monitorando autenticações suspeitas.
Contas de administradores devem ser separadas das utilizadas em atividades cotidianas, reduzindo as oportunidades de comprometimento.
Atualizar VPNs, firewalls e dispositivos de borda
Equipamentos responsáveis pelo acesso remoto precisam receber atenção especial das equipes de infraestrutura.
Administradores devem acompanhar os boletins de segurança dos fabricantes e verificar periodicamente ocatálogo de vulnerabilidades conhecidas exploradas (KEV)mantido pela CISA.
A aplicação de correções deve considerar a gravidade das falhas, a exposição dos equipamentos e a existência de exploração ativa.
Além disso, interfaces administrativas não devem permanecer publicamente acessíveis sem necessidade operacional. Sempre que viável, o gerenciamento deve ocorrer por redes dedicadas ou mecanismos de acesso restrito.
Proteger ambientes Linux, Windows e sistemas virtualizados
Embora muitas campanhas de ransomware tenham como alvo ambientes Windows, organizações também precisam considerar servidoresLinux, plataformas de virtualização e dispositivos de armazenamento.
Entre as medidas recomendadas estão a segmentação de redes, o monitoramento de atividades privilegiadas e a adoção de soluções dedetecção e resposta em endpoints (EDR)compatíveis com os sistemas utilizados.
Ferramentas de centralização de logs egerenciamento de informações e eventos de segurança (SIEM)podem auxiliar na identificação de autenticações anormais, movimentações laterais e tentativas de desativação de controles de proteção.
Também é fundamental restringir o acesso administrativo a hipervisores, consoles de gerenciamento e repositórios de backup.
Preparar um plano de resposta a incidentes
A prevenção precisa ser acompanhada de procedimentos claros para situações em que uma invasão já esteja em andamento.
As organizações devem estabelecer planos de resposta que contemplem identificação, contenção, preservação de evidências, erradicação da ameaça e recuperação dos serviços.
Ao identificar sinais de comprometimento, as equipes precisam avaliar rapidamente o isolamento dos sistemas afetados, evitando que o malware alcance outros segmentos da rede.
É igualmente importantepreservar registros e evidências digitais, pois esses materiais podem ajudar a identificar o acesso inicial e determinar quais informações foram comprometidas.
Os testes periódicos de recuperação e os exercícios simulados de incidentes permitem identificar falhas operacionais antes de uma emergência real.
O cenário atual do ransomware e o futuro da cibersegurança
O crescimento doransomware SafePaydemonstra como o ecossistema de crimes cibernéticos continua se adaptando às ações de repressão e às mudanças nas estratégias de defesa.
O enfraquecimento de operações como LockBit e BlackCat não eliminou o mercado de extorsão digital. Outros grupos passaram a disputar espaço, adotando estruturas próprias e explorando vulnerabilidades que permanecem presentes em redes corporativas.
Para organizações de infraestrutura crítica, a principal preocupação não é apenas a possibilidade de perda de arquivos, mas ainterrupção de serviços essenciais, o comprometimento de informações sensíveis e os efeitos sobre fornecedores e usuários.
Nesse cenário, a segurança precisa deixar de depender exclusivamente de ferramentas isoladas. A combinação degerenciamento de vulnerabilidades, autenticação robusta, monitoramento contínuo, segmentação de redes e backups protegidosoferece uma defesa mais consistente.
O compartilhamento de informações sobre incidentes também desempenha um papel importante. Relatar ataques às autoridades competentes e aos canais setoriais de resposta contribui para identificar padrões de atividade criminosa e melhorar a proteção coletiva.
O SafePay reforça uma realidade que administradores de sistemas já conhecem:uma única credencial comprometida ou um equipamento de borda desatualizado pode colocar toda uma infraestrutura em risco.
FONTE: Matéria original