Introducción
La seguridad perimetral ya no garantiza la integridad de la red interna si las credenciales de acceso están comprometidas o si la superficie de ataque de los dispositivos de borde no se gestiona con rigor. CISA, junto al FBI, el Servicio Secreto de EE. UU., la Oficina Federal de Policía Criminal de Alemania y la Agencia Nacional del Crimen del Reino Unido, emitieron una alerta conjunta que cambia el foco de la defensa: el grupo de ransomware SafePay ha violado más de 600 organizaciones de infraestructura crítica a nivel global desde agosto de 2024.
Este dato no es una estadística aislada; representa un cambio en la dinámica de amenazas donde grupos privados, sin red de afiliados, operan con la precisión de una operación militar. A diferencia de modelos anteriores como BlackCat o LockBit, SafePay centraliza sus operaciones, lo que les permite mantener una consistencia táctica y una velocidad de ejecución difícil de mitigar con defensas tradicionales. Para los equipos de DevOps y SRE, esto implica que la vigilancia de logs de acceso y la hardening de servicios expuestos a internet son ahora requisitos no negociables para la continuidad operativa.
Qué ocurrió
La investigación multinacional revela que SafePay no es un grupo de ransomware al uso. Surgió en agosto de 2024 como una operación privada que rechaza el modelo de afiliados. Esta estructura les permite mantener el control total sobre la exfiltración de datos y la negociación, evitando las filtraciones internas comunes en redes distribuidas. Hasta la fecha del informe, han impactado sectores críticos en Norteamérica, Sudamérica, Europa y Australia.
El método de entrada inicial es diverso pero predecible. Los actores de amenaza explotan credenciales expuestas, realizan ataques de fuerza bruta y, crucialmente, aprovechan vulnerabilidades en accesos VPN. El informe destaca específicamente el uso de direcciones IP asociadas al proveedor de VPN Mullvad para ocultar el origen de los ataques, aunque la vulnerabilidad explotada suele estar en el dispositivo de borde (firewall o concentrador VPN) y no en el proveedor del túnel en sí. Una vez dentro, no solo cifran datos; borran copias de seguridad (shadow copies) y restablecen dispositivos de almacenamiento en red (NAS) para dificultar la recuperación, ejecutando una estrategia de doble extorsión que amenaza con publicar documentos robados.
Impacto para DevOps / Infraestructura / Cloud / Seguridad
El impacto directo se traduce en tiempos de recuperación extendidos y costos operativos elevados. Al borrar las copias de seguridad locales y los snapshots de volumen, SafePay obliga a las organizaciones a depender de backups offline o en la nube, lo que puede aumentar el RTO (Recovery Time Objective) de horas a días, dependiendo de la arquitectura de replicación existente.
Para los equipos de seguridad de la información, el reto reside en la detección del movimiento lateral. Dado que los atacantes utilizan credenciales válidas (robadas o obtenidas por fuerza bruta), el tráfico se parece al legítimo. La prevención tradicional, basada en firmas de malware, falla en esta fase. Según datos recientes de simulaciones de ataque en entornos de producción, una vez que el atacante obtiene credenciales válidas, la eficacia de las defensas preventivas cae drásticamente. Esto expone una brecha crítica en la arquitectura de identidad y acceso, donde la confianza implícita en los usuarios autenticados sigue siendo el talón de Aquiles.
Además, la presión sobre los equipos de nube (AWS, Azure, GCP) aumenta porque muchas de estas organizaciones críticas híbriden cargas de trabajo. Si un atacante compromete un servidor local conectado a la nube mediante una VPN mal configurada, puede escalar privilegios hacia servicios en la nube, comprometiendo bucket de S3 o bases de datos gestionadas si no se aplican políticas de red estrictas.
Detalles técnicos
Los indicadores de compromiso (IOCs) y las tácticas, técnicas y procedimientos (TTPs) proporcionados en el informe cubren la actividad observada entre noviembre de 2024 y agosto de 2026. Los investigadores identificaron que SafePay utiliza scripts automatizados para explorar y explotar CVEs conocidos en dispositivos de borde. La vulnerabilidad de «acceso inmediato» es frecuentemente el punto de entrada, aprovechando parches aplicados tardíamente en firewalls y concentradores VPN.
Un aspecto técnico relevante es la eliminación sistemática de evidencia de recuperación. Los atacantes ejecutan comandos para eliminar las Volume Shadow Copies en sistemas Windows y resetean configuraciones en dispositivos NAS. Esta acción está diseñada para maximizar el impacto operativo y forzar el pago.
A continuación, se muestra un ejemplo de cómo un atacante podría intentar eliminar las shadow copies desde un shell comprometido, una técnica que los defensores deben monitorear:
# Comando común usado por ransomware para eliminar shadow copies
vssadmin delete shadows /all /quiet
# Verificación de logs de eventos (Windows Event ID 12292 y 12306)
Get-WinEvent -FilterHashtable @{LogName=’System’; ProviderName=’Microsoft-Windows-VSS’}
Los equipos de seguridad deben alertar sobre cualquier ejecución de vssadmin o herramientas similares (wmic shadowcopy delete) fuera de ventanas de mantenimiento programadas. Además, el uso de herramientas administrativas legítimas (Living off the Land) como PsExec o WMI para el movimiento lateral es una firma clave de la fase post-explotación de SafePay.
Qué deberían hacer los administradores y equipos técnicos
La mitigación requiere un enfoque en capas, priorizando la identidad y la higiene de los dispositivos de borde. No basta con «actualizar el sistema»; la acción debe ser específica y auditada.
Conclusión
SafePay demuestra que la sofisticación técnica no siempre requiere exploits de día cero; a menudo, la combinación de credenciales débiles, parches tardíos en el perímetro y la falta de monitoreo del movimiento lateral es suficiente para comprometer organizaciones críticas. La cifra de 600 víctimas en menos de dos años subraya la urgencia de endurecer los controles de acceso y verificar la integridad de las copias de seguridad de forma proactiva.
La colaboración internacional en este informe no es solo política; proporciona IOCs y TTPs concretos que los equipos de SOC pueden integrar en sus SIEMs. Ignorar estas señales específicas es asumir un riesgo operativo innecesario. La defensa efectiva hoy depende menos de firewall de última generación y más de una disciplina rigurosa en la gestión de identidades y la respuesta rápida ante anomalías en el movimiento lateral.
Fuentes
- https://www.bleepingcomputer.com/news/security/cisa-and-fbi-safepay-ransomware-has-hit-over-600-critical-infrastructure-organizations/