Ransomware SafePay: entra por la VPN y va por los backups, según CISA y el FBI

El 20 de octubre, CISA, el FBI y el Servicio Secreto de Estados Unidos, junto con la policía del estado alemán de Renania-Palatinado y dos agencias del Reino Unido, publicaron un aviso conjunto sobre SafePay, un grupo de ransomware que de «pago seguro» tiene solo el nombre. Según el aviso, está activo desde agosto de 2024, fue uno de los grupos de ransomware más activos de 2026, suma al menos 600 víctimas de varios sectores de infraestructura crítica y atacó empresas en América del Norte, América del Sur, Europa y Australia. Para entrar usa contraseñas robadas o adivinadas, el acceso por VPN y cinco fallas conocidas de firewalls Cisco y SonicWall y del software de respaldo Veeam. Una vez adentro, va por las copias de seguridad.

Qué hacer hoy: si no manejás vos la red de tu empresa, preguntale a quien la maneja (el técnico o el proveedor de IT) tres cosas: si el firewall o la VPN de la oficina son Cisco ASA, Cisco Firepower o SonicWall, o si los servidores se respaldan con Veeam Backup & Replication; si la VPN pide un segundo factor además de la contraseña; y si existe una copia de seguridad que no esté conectada a la red. Si la manejás vos: actualizá esos equipos, activá el segundo factor y verificá esa copia (el detalle, abajo).

Si usás la computadora en tu casa, este aviso no trae una tarea específica para vos: describe ataques contra empresas y organizaciones. Es nuestra lectura del documento, que declara como público a organismos de gobierno e infraestructura crítica.

Cómo entra SafePay

El aviso enumera varias vías de entrada: credenciales expuestas, ataques de fuerza bruta que prueban contraseñas hasta acertar y el acceso por VPN. Los atacantes se conectan desde direcciones del servicio de VPN Mullvad y, con cuentas obtenidas por phishing, aprovechan dos fallas de los firewalls de Cisco. Además, con scripts automáticos atacan equipos expuestos a internet usando fallas de Veeam Backup & Replication y de SonicWall. Las cinco tienen algo en común: se publicaron entre 2020 y 2024 y figuran en el catálogo de vulnerabilidades explotadas de CISA. Cisco y Veeam ya publicaron actualizaciones; el aviso de SonicWall (SNWLID-2024-0015) no pudimos leerlo, pero el registro CVE lo cita como la referencia del fabricante.

Si tu empresa tiene alguno de esos equipos y nadie le instaló actualizaciones desde 2024, esa es la tarea de hoy. Y ojo con Veeam en particular: según el propio fabricante, la falla de 2023 permite, a alguien que ya está dentro de la red de respaldo, obtener credenciales guardadas, y eso puede darle acceso a los servidores de la infraestructura de respaldo. O sea, a los equipos que manejan las copias.

Qué hace una vez adentro, y por qué tus backups están en la mira

Adentro, los atacantes crean cuentas nuevas o toman las que ya existen y se mueven por la red con herramientas legítimas que cualquier área de sistemas usa: PsExec, WinRM, Escritorio remoto (RDP) y software de administración remota; además, instalan programas como AnyDesk o TeamViewer para pasar el ransomware a los equipos. Según el aviso, suelen desactivar el software de seguridad —nombra a Windows Defender— y en algunos casos cambiaron las contraseñas de los usuarios para que no pudieran iniciar sesión.

Lo más delicado para una pyme es lo que hacen con las copias. Detienen el servicio de instantáneas de volumen de Windows, restablecen a valores de fábrica el NAS donde la víctima guarda sus backups y, en algunos casos, borraron todas las copias conectadas a la red. Un backup que el atacante alcanza desde la red, para SafePay, es un blanco más: puede resetearlo o borrarlo.

Antes de cifrar juntan y comprimen datos con herramientas como FileZilla, 7-Zip, WinRAR o RClone, y se los llevan con WinSCP o RClone, y a veces por OneDrive. Después cifran los archivos (les agregan la extensión .SafePay) y dejan una nota de rescate en el escritorio o en la raíz del disco, con un enlace a un chat en la red TOR. Para presionar, un representante del grupo llama por teléfono, y si la empresa no paga, publican lo robado en su sitio de filtraciones. Según el aviso, suelen pedir una parte de los ingresos de la empresa, en criptomonedas.

Qué hacer esta semana

Las recomendaciones del aviso son largas y están pensadas para organizaciones grandes. Estas son las que más le sirven a una empresa chica, en el orden en que conviene encararlas:

• Actualizá todo lo que da a internet. Firewall, VPN y cualquier servidor accesible desde afuera, empezando por los de la tabla. Las autoridades piden priorizar las fallas que ya se sabe que se están explotando.
• Segundo factor en la VPN y en el correo web. El aviso pide verificación en dos pasos en todos los servicios posibles, en especial correo web, VPN y cuentas con acceso a sistemas críticos.
• Contraseñas largas y bloqueo por intentos fallidos. Recomienda al menos 15 caracteres, no reutilizarlas y bloquear la cuenta tras varios intentos fallidos, que es la defensa directa contra la fuerza bruta.
• Una copia que el atacante no pueda tocar. Las autoridades piden copias offline, probadas con restauraciones periódicas, y copias cifradas e inmutables (que no se puedan modificar ni borrar). En una empresa chica, lo más simple es un disco externo que se conecta para hacer la copia y se desconecta después; lo importante es que no quede conectado a la misma red que el NAS. La receta del disco externo es nuestra sugerencia, no texto del aviso.
• Revisá cuentas y accesos remotos. El aviso pide buscar cuentas nuevas o que nadie reconoce en servidores, equipos y Active Directory. Sumale una pregunta: si hay programas de acceso remoto, como AnyDesk o TeamViewer, que nadie recuerda haber instalado.

Si tu proveedor de IT te dice que todo esto ya está hecho, pedile la fecha de la última restauración de prueba. Un backup que nunca se restauró es una esperanza, no un plan.

Si ya te pasó: las autoridades que firman el aviso desaconsejan pagar el rescate, porque pagar no garantiza recuperar los archivos, y piden denunciar el incidente (el aviso da los canales de Estados Unidos y del Reino Unido). Desde América Latina, nuestra sugerencia es hacer la denuncia ante la policía o el equipo de respuesta a incidentes (CERT) de tu país.

Lo que el aviso no dice

No da cifras por país ni por región: dice que hubo víctimas en América del Sur, pero no cuántas, en qué países ni de qué tamaño, así que no corresponde suponer casos en un país de América Latina en particular. Las técnicas que describe salen de investigaciones del FBI, del Servicio Secreto y de la policía de Renania-Palatinado, las más recientes de agosto de 2026. El documento trae además una lista de indicadores técnicos pensada para equipos de seguridad, que no reproducimos acá; está en el original, que también aclara que las herramientas legítimas que nombra no deben considerarse maliciosas sin evidencia de que las usó el atacante.

Fuentes

• FBI, CISA, Servicio Secreto de EE. UU., Landeskriminalamt Rheinland-Pfalz, National Crime Agency y North West Regional Organised Crime Unit, «#StopRansomware: SafePay Ransomware» (AA26-293A), 20 de octubre de 2026, difundido por CISA a las 19:00 UTC (en inglés).
• Avisos de los fabricantes, consultados el 21 de octubre de 2026 (en inglés): Cisco, CVE-2020-3259 y CVE-2023-20269; Veeam, KB4424 y KB4649. Las fechas de publicación y los productos de cada falla salen del registro CVE de MITRE, igual que la fecha en que CISA sumó cada una a su catálogo; el aviso de SonicWall no pudo leerse (la página no carga contenido sin navegador) y el dato de esa fila viene del registro CVE.
• CISA, catálogo de vulnerabilidades explotadas conocidas (en inglés).