◢¿Qué es SafePay?

SafePay es un grupo de ransomware: entra en la red de una empresa, roba datos, cifra los archivos y pide un rescate. Según el aviso, está activo desde agosto de 2024 y ha afectado al menos a 600 víctimas en Norteamérica, Sudamérica, Europa y Australia.

Los archivos cifrados llevan la extensión .SafePay y, sin la clave, no se pueden recuperar. La nota de rescate lleva a un chat en la red Tor, la exigencia suele ser una parte de la facturación de la empresa y un representante del grupo llama por teléfono a la víctima. Si no se paga, los datos robados se publican en una web de filtraciones.

◢¿Cómo entra en una empresa?

El aviso enumera varias vías de acceso inicial, y ninguna requiere nada exótico:

• ▹Credenciales robadas o adivinadas, incluidos ataques de fuerza bruta.
• ▹Phishing.
• ▹Acceso por VPN, en algunos casos desde direcciones IP de un proveedor comercial de VPN.
• ▹Fallos conocidos en equipos expuestos a internet, como cortafuegos y servidores de acceso remoto. El aviso lista cinco vulnerabilidades concretas, algunas explotadas con scripts automáticos.

Es decir: una contraseña reutilizada sin segundo factor, una VPN sin actualizar o un correo bien hecho. Si te interesa la parte del correo, lo expliqué en cómo saber si un correo es phishing y en por qué los ataques entran por un correo y no por el servidor.

◢¿Qué hacen una vez dentro?

Aquí está lo que más conviene entender. Los atacantes no usan solo software malicioso. Según el aviso, se mueven con herramientas legítimas del propio sistema, como PsExec y WinRM, y con programas de uso corriente: AnyDesk, TeamViewer, ScreenConnect, 7-Zip, WinRAR, FileZilla, WinSCP o RClone. Con ellos buscan carpetas compartidas, comprimen los datos y los sacan de la red.

El propio aviso advierte de que estas herramientas no deben darse por maliciosas sin más. Por eso un antivirus que solo busque virus conocidos no basta: lo sospechoso es que alguien instale AnyDesk un domingo de madrugada en un servidor, no que AnyDesk exista.

También desactivan el software de seguridad antes de moverse por la red y a veces cambian contraseñas de usuarios para dejarlos fuera.

◢¿Por qué van a por las copias de seguridad?

Porque la copia es lo que te permite no pagar. Según el aviso, detienen el servicio de copias de sombra de Windows y restablecen de fábrica los dispositivos NAS donde se guardan los respaldos. En algunos casos borran todas las copias conectadas a la red.

Si tu copia está en un disco o una carpeta a la que se llega desde la misma red, para el atacante es un archivo más. Por eso las recomendaciones del aviso insisten en las copias fuera de línea, cifradas e inmutables, y en probar que se pueden restaurar.

◢¿Qué puede hacer una empresa pequeña?

No hace falta un departamento de seguridad para cubrir lo más importante. De la lista de medidas del aviso, estas son las que yo pondría primero:

1. ▹Segundo factor de autenticación (MFA) en el correo, la VPN y las cuentas de administración.
2. ▹Actualizar lo que está expuesto a internet: VPN, cortafuegos, servidores de acceso remoto y cualquier equipo con firmware antiguo.
3. ▹Contraseñas largas, únicas y guardadas en un gestor. El aviso recomienda longitudes de 15 a 64 caracteres, evitar reutilizarlas, bloquear la cuenta tras varios intentos fallidos y no obligar a cambiarlas más de una vez al año.
4. ▹Copias de seguridad cifradas, inmutables, con al menos una copia fuera de línea, y una restauración de prueba de vez en cuando.
5. ▹Segmentar la red, para que un equipo comprometido no vea todos los demás.
6. ▹Revisar quién es administrador y quitar permisos que sobran. El aviso propone incluso acceso de administración solo cuando se necesita, con límite de tiempo.
7. ▹Vigilar el tráfico de la red y los equipos. El aviso destaca las herramientas EDR, que detectan comportamientos raros en un equipo, algo que sí cubre el caso de las herramientas legítimas usadas con mala intención.
8. ▹Revisar las cuentas nuevas, inactivas o desconocidas en el directorio de usuarios y los servidores.

Una más barata de lo que parece: el aviso sugiere añadir un aviso visible en los correos que llegan de fuera de la organización. Ayuda a que la plantilla desconfíe a tiempo.

◢¿Qué hacer si ya han entrado?

Si aún no han cifrado, el aviso recomienda aislar los equipos afectados, desconectándolos de la red, investigar hasta dónde ha llegado el intruso mirando registros y actividad, avisar a las autoridades y expulsar al atacante antes de reforzar la red. Si ya hay datos cifrados, remite a una lista de comprobación de respuesta de su guía #StopRansomware.

Sobre el rescate, las agencias firmantes no animan a pagar: dicen que no garantiza recuperar los datos y que puede financiar otros delitos. Esto es la posición de esas agencias, no un asesoramiento legal. Si ocurre, conviene hablar cuanto antes con un profesional de respuesta a incidentes y con asesoría jurídica.

◢Qué conviene tener claro

Un aviso de este tipo describe a un grupo concreto, pero las medidas valen contra casi cualquier ransomware. Lo que decide el resultado suele ser si había segundo factor, si lo expuesto estaba actualizado y si la copia de seguridad sobrevivió al ataque.

La otra mitad es la plantilla: gran parte de estos ataques empieza con una credencial o un correo. En las formaciones trabajo justo eso con equipos que no son técnicos: qué hacer ante un correo dudoso, cómo usar un gestor de contraseñas y a quién avisar cuando algo no cuadra.