Pelo menos 600 organizações nos Estados Unidos e na Europa foram invadidas pelo grupo SafePay desde agosto de 2024, segundo um novo alerta conjunto do FBI e de agências de segurança da Alemanha e do Reino Unido. Segundo o documento, o grupo está entre os mais ativos do tipo ransomware em 2026, que sequestra arquivos criptografando-os e cobra pagamento para liberá-los.

Os criminosos atacam empresas e infraestruturas críticas usando três caminhos principais: adivinhar senhas, explorar vulnerabilidades conhecidas e aplicar golpes de phishing, em que mensagens falsas enganam a vítima para entregar acesso. O alerta cita várias falhas já usadas pelo grupo, entre elas CVE-2020-3259, CVE-2023-20269, CVE-2023-27532, CVE-2024-40711 e CVE-2024-40766. Depois de entrar na rede, os invasores criam contas novas ou assumem contas existentes, usam ferramentas legítimas do próprio sistema para se mover e desativam proteções de segurança para não serem percebidos.

Para ter controle e pressionar a vítima, o grupo copia e compacta arquivos antes de criptografar os equipamentos. Ferramentas de acesso remoto legítimas, como AnyDesk e TeamViewer, são usadas para levar o ransomware até os computadores atacados. Em alguns casos, os hackers trocam as senhas de usuários do sistema para dificultar o acesso das equipes de TI. Também há uma pessoa que liga para as vítimas em nome do grupo. O pagamento pedido é em criptomoedas e corresponde a uma parte da receita da empresa.

O site de vazamentos do grupo lista dezenas de empresas alemãs e órgãos governamentais na América Latina e nos EUA. Recentemente, o SafePay reivindicou ataques à fornecedora de produtos e serviços de TI Microlise, do Reino Unido, e à Conduent, contratada de tecnologia do governo americano. O ataque à Conduent causou grandes danos nos EUA, porque a empresa atua em programas como Medicaid, pensão alimentícia, auxílio alimentação e pedágios. A Conduent anunciou um acordo de US$ 80 milhões para encerrar uma ação coletiva aberta após o ataque.

Para quem está fora desse caso, o recado é reforçar senhas, ativar a autenticação em dois fatores e manter sistemas atualizados. A fonte não traz orientações mais detalhadas, então o ideal é seguir as recomendações oficiais de cada fabricante.