FBI alerta: ransomware SafePay já atingiu 600 empresas em 3 anos

Cibersegurança

FBI e agências europeias destacam a urgência em fortalecer defesas contra o ransomware SafePay, que afeta centenas de empresas.

Leia também: Proofpoint compra Varonis por US$ 6,3 bi e cria gigante de cibersegurança

O grupo de ransomware SafePay já comprometeu mais de 600 organizações desde 2024 em ataques a empresas e órgãos públicos nos Estados Unidos, Europa e América Latina, segundo alerta divulgado hoje por FBI e agências de segurança cibernética da Alemanha e do Reino Unido. O documento descreve em detalhes as táticas usadas pelos criminosos, que exploram falhas conhecidas, usam phishing e chegam a ligar para as vítimas para pressionar pelo pagamento de resgates em criptomoedas.

Quem são as vítimas do grupo SafePay segundo o FBI?

De acordo com o alerta, as vítimas do SafePay incluem dezenas de empresas alemãs, organizações governamentais na América Latina e nos EUA, além de grandes fornecedores de tecnologia e serviços de TI. O grupo tem como foco estruturas que lidam com dados sensíveis e operações críticas, como tecnologia governamental, infraestrutura e serviços terceirizados.

Entre os casos mais conhecidos está o ataque à Conduent, importante fornecedora de tecnologia para governos estaduais e municipais nos Estados Unidos, com impacto sobre sistemas de programas sociais, pedágios rodoviários e outros serviços públicos. A companhia fechou um acordo judicial de 80 milhões de dólares após um processo coletivo movido depois do incidente.

O SafePay também reivindica a autoria de ataques contra a empresa britânica de tecnologia Microlise e contra um dos maiores provedores de produtos e serviços de TI dos Estados Unidos. O site de vazamento mantido pelo grupo lista atualmente uma série de empresas na Alemanha e órgãos governamentais nas Américas entre os alvos já comprometidos.

Como o FBI descreve a atuação do grupo SafePay

No alerta, as agências classificam o SafePay como um dos grupos de ransomware mais ativos em 2026, com uma campanha contínua que começa pelo ataque a sistemas expostos na internet. Os criminosos combinam adivinhação de senhas, campanhas de phishing e exploração de vulnerabilidades conhecidas em equipamentos e softwares para conseguir o primeiro acesso.

Entre as brechas exploradas estão falhas catalogadas como CVE-2020-3259, CVE-2023-20269, CVE-2023-27532, CVE-2024-40711 e CVE-2024-40766, além de outras não detalhadas. Scripts automatizados são usados para escanear grandes volumes de sistemas conectados e identificar rapidamente máquinas vulneráveis.

Uma vez dentro da rede da vítima, os criminosos consolidam o controle criando novas contas administrativas ou assumindo contas já existentes. “Once inside the network, SafePay actors establish control by creating new accounts or taking over existing ones”, diz o alerta das agências de segurança. A partir daí, eles passam a usar ferramentas legítimas do próprio sistema operacional para se movimentar lateralmente, mapear a rede, localizar arquivos valiosos e desligar proteções de segurança para escapar de antivírus e sistemas de detecção.

Antes de acionar o ransomware, o grupo costuma comprimir grandes volumes de dados e exfiltrá-los para servidores sob seu controle. Programas de uso comum em ambientes corporativos, como os softwares de acesso remoto AnyDesk e TeamViewer, são empregados para transferir o malware e controlar máquinas à distância sem levantar suspeitas imediatas.

Em alguns casos, os atacantes ainda alteram senhas de usuários e administradores para bloquear o acesso legítimo, dificultar a resposta de incidentes e tornar mais lenta a recuperação dos sistemas.

Quantas vítimas o grupo SafePay já teve desde 2024?

O alerta conjunto aponta que o SafePay já comprometeu mais de 600 organizações desde agosto de 2024. Esse número inclui empresas privadas de diferentes portes, órgãos públicos e provedores de serviços essenciais em vários países.

As autoridades destacam que o volume de vítimas e a abrangência geográfica — com casos confirmados em Estados Unidos, diversos países europeus, entre eles Alemanha e Reino Unido, e na América Latina — colocam o SafePay entre os principais responsáveis pelo aumento do risco de ataques de sequestro de dados em 2026.

Quais são os principais alvos do grupo SafePay?

De acordo com as investigações, o SafePay mira sobretudo empresas e instituições com forte dependência de sistemas digitais conectados à internet e que operam dados sensíveis ou serviços essenciais. Entram nessa lista fornecedores de tecnologia governamental, prestadores de serviços de TI, companhias de infraestrutura e negócios que concentram grandes volumes de informações de clientes.

O padrão observado é o de atacar organizações cuja paralisação provoque impacto direto em serviços públicos ou operações críticas e que, por isso, tendem a estar mais dispostas a negociar para reduzir danos. Em muitos casos, o grupo define o valor do resgate como uma fração da receita da empresa atingida, sempre exigido em criptomoedas.

Entenda o contexto

O avanço do SafePay ocorre em um momento em que grupos tradicionais de ransomware passam por desarticulações e operações policiais, abrindo espaço para novas siglas e reconfigurações no submundo do crime digital. Especialistas que analisaram o código do SafePay identificaram semelhanças com o de outro grupo, o LockBit, hoje praticamente inativo, o que pode indicar reaproveitamento de ferramentas ou até continuidade da atuação de parte dos antigos operadores.

O impacto para as vítimas vai além do pagamento de resgate. A interrupção de serviços, o vazamento de dados estratégicos, o custo de reconstrução da infraestrutura e os processos judiciais posteriores, como o que levou ao acordo de 80 milhões de dólares da Conduent, transformam ataques desse tipo em crises de longo prazo para empresas e governos.

Com o novo alerta, FBI e autoridades europeias esperam acelerar atualizações de sistemas vulneráveis, reforçar campanhas contra phishing e ampliar a cooperação internacional na investigação do grupo. O documento indica que as apurações continuam em andamento e que incidentes ligados ao SafePay seguem sendo registrados neste ano, o que mantém o nível de atenção elevado em empresas e órgãos públicos pelo mundo.

Fonte: matéria original