Τουλάχιστον 600 οργανισμοί σε τέσσερις περιοχές του κόσμου έχουν πέσει θύματα της ομάδας SafePay από τον Αύγουστο του 2024, και οι αρχές κυβερνοασφάλειας των ΗΠΑ και των συμμάχων τους καλούν πλέον επιχειρήσεις και φορείς κρίσιμων υποδομών να εφαρμόσουν μέτρα μετριασμού. Η CISA (Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομών των ΗΠΑ), το FBI και οι εταίροι τους δημοσίευσαν την Τρίτη 20 Οκτωβρίου 2026 το κοινό δελτίο κυβερνοασφάλειας (advisory) #StopRansomware με κωδικό AA26-293A, που περιγράφει τον τρόπο δράσης της ομάδας και τα μέτρα προστασίας.
Το SafePay είναι ομάδα ransomware, δηλαδή λογισμικού λύτρων: κακόβουλου προγράμματος που κρυπτογραφεί τα αρχεία ενός οργανισμού και ζητά χρήματα για την αποκρυπτογράφησή τους. Οι υπογράφοντες το χαρακτηρίζουν μία από τις πιο ενεργές ομάδες του είδους. Τα θύματα βρίσκονται στη Βόρεια και Νότια Αμερική, στην Ευρώπη και στην Αυστραλία και προέρχονται από πολλούς τομείς κρίσιμων υποδομών. Το δελτίο υπογράφουν το FBI, η CISA και η Μυστική Υπηρεσία των ΗΠΑ (USSS), μαζί με τη Landeskriminalamt (κρατική υπηρεσία ποινικών ερευνών) της Ρηνανίας-Παλατινάτου στη Γερμανία, την Εθνική Υπηρεσία Εγκλήματος (National Crime Agency) και τη Βορειοδυτική Περιφερειακή Μονάδα Οργανωμένου Εγκλήματος (North West Regional Organised Crime Unit) του Ηνωμένου Βασιλείου. Τα στοιχεία προέρχονται από έρευνες που έφτασαν μέχρι τον Αύγουστο του 2026.
Οι δράστες εφαρμόζουν διπλό εκβιασμό: κλέβουν δεδομένα, κρυπτογραφούν τα συστήματα και απειλούν να δημοσιεύσουν ό,τι πήραν. Αν το θύμα δεν πληρώσει, τα δεδομένα ανεβαίνουν στον ιστότοπο διαρροών της ομάδας. Τα λύτρα ζητούνται σε κρυπτονόμισμα και αντιστοιχούν συνήθως σε μέρος των εσόδων της εταιρείας. Το σημείωμα αφήνεται συνήθως στην επιφάνεια εργασίας και οδηγεί σε πύλη συνομιλίας στο δίκτυο Tor, ενώ σε ορισμένες περιπτώσεις εκπρόσωπος της ομάδας τηλεφωνεί στα θύματα για να τα πιέσει.
Για να μπουν στο δίκτυο, οι δράστες εκμεταλλεύονται κωδικούς που έχουν διαρρεύσει, δοκιμάζουν μαζικά κωδικούς πρόσβασης (επιθέσεις ωμής βίας, brute force) και συνδέονται μέσω VPN, με διευθύνσεις IP του παρόχου Mullvad. Χρησιμοποιούν και λογαριασμούς που απέκτησαν με ηλεκτρονικό ψάρεμα (phishing). Άλλη είσοδος είναι οι ευπάθειες, δηλαδή τα γνωστά κενά ασφαλείας, σε συσκευές άκρου δικτύου (edge devices), όπως τείχη προστασίας, και σε άλλα συστήματα εκτεθειμένα στο διαδίκτυο, με αυτοματοποιημένα σενάρια. Το δελτίο απαριθμεί πέντε κωδικούς CVE: CVE-2020-3259, CVE-2023-20269, CVE-2023-27532, CVE-2024-40711 και CVE-2024-40766.
Μόλις μπουν, οι δράστες δημιουργούν ή αναλαμβάνουν λογαριασμούς, μετακινούνται πλευρικά στο δίκτυο (lateral movement) με νόμιμα εργαλεία όπως τα PsExec, WinRM και RDP και απενεργοποιούν το λογισμικό ασφαλείας. Συμπιέζουν τα δεδομένα με εργαλεία όπως τα 7-Zip και WinRAR και τα στέλνουν σε λογαριασμούς υπό τον έλεγχό τους με τα WinSCP και RClone. Για να δυσκολέψουν την ανάκτηση, σταματούν την Υπηρεσία Αντιγράφων Σκιάς Τόμου (Volume Shadow Copy Service) και επαναφέρουν στις εργοστασιακές ρυθμίσεις τις συσκευές αποθήκευσης δικτύου (NAS) που κρατούν αντίγραφα ασφαλείας. Τα κρυπτογραφημένα αρχεία παίρνουν την κατάληξη .SafePay.
Οι φορείς ζητούν από τους οργανισμούς να ενημερώνουν τακτικά συστήματα και λογισμικό, ιδίως τείχη προστασίας και άλλες συσκευές άκρου δικτύου, με προτεραιότητα στις γνωστές ευπάθειες που ήδη εκμεταλλεύονται οι επιτιθέμενοι. Ζητούν επίσης εφαρμογή της αρχής της μηδενικής εμπιστοσύνης (Zero Trust), περιορισμό των διαχειριστικών εργαλείων και δικαιωμάτων σε όσους τα χρειάζονται, και ενίσχυση των λογαριασμών με πολιτικές διαχείρισης ταυτότητας, διαπιστευτηρίων και πρόσβασης (ICAM) και πολυπαραγοντική αυθεντικοποίηση (MFA). Στα μέτρα περιλαμβάνονται κωδικοί 15 έως 64 χαρακτήρων, αντίγραφα ασφαλείας εκτός σύνδεσης (offline), κρυπτογραφημένα και αμετάβλητα, και τμηματοποίηση του δικτύου.
Οι φορείς δεν ενθαρρύνουν την πληρωμή λύτρων, επειδή η πληρωμή δεν εγγυάται ότι θα ανακτηθούν τα αρχεία. Ζητούν από τα θύματα να δηλώνουν άμεσα το περιστατικό στο IC3 του FBI, σε τοπικό γραφείο του FBI ή της USSS ή στη CISA, και να απομονώνουν τους παραβιασμένους υπολογιστές. Για τον κυβερνοπόλεμο και την κυβερνοάμυνα στην Ελλάδα, δείτε και την ανάλυσή μας για τον κυβερνοπόλεμο ως νέα απειλή, το ρεπορτάζ για την κυβερνοάμυνα του ΓΕΕΘΑ και το πρόγραμμα του ΕΣΠΑ για την κατάρτιση εργαζομένων σε αμυντικές τεχνολογίες και κυβερνοασφάλεια.
