Rançongiciel SafePay : la CISA, le FBI et leurs partenaires alertent sur un groupe qui a touché au moins 600 organisations depuis août 2024

Au moins 600 organisations dans quatre régions du monde ont été victimes du groupe SafePay depuis août 2024, et les autorités de cybersécurité des États-Unis et de pays alliés appellent désormais les entreprises et les opérateurs d’infrastructures critiques à appliquer des mesures d’atténuation. La CISA, le FBI et leurs partenaires ont publié le mardi 20 octobre 2026 l’avis conjoint de cybersécurité #StopRansomware, codé AA26-293A, qui décrit les méthodes du groupe et les mesures de protection.

SafePay est un groupe de rançongiciels : son logiciel malveillant chiffre les fichiers d’une organisation et exige de l’argent pour les déchiffrer. Les signataires le décrivent comme l’un des groupes les plus actifs de ce type. Les victimes se trouvent en Amérique du Nord et du Sud, en Europe et en Australie, et appartiennent à de nombreux secteurs d’infrastructures critiques. L’avis est signé par le FBI, la CISA et le Secret Service américain (USSS), ainsi que par le Landeskriminalamt (office régional de police criminelle) de Rhénanie-Palatinat en Allemagne, et par la National Crime Agency et la North West Regional Organised Crime Unit du Royaume-Uni. Les informations proviennent d’enquêtes menées jusqu’en août 2026.

Le mode opératoire du groupe

Les acteurs recourent à la double extorsion : ils volent des données, chiffrent les systèmes et menacent de publier ce qu’ils ont pris. Si la victime ne paie pas, les données sont mises en ligne sur le site de fuites du groupe. Les rançons sont exigées en cryptomonnaie et correspondent généralement à une part du chiffre d’affaires de l’entreprise. La note de rançon est le plus souvent laissée sur le bureau et renvoie vers un portail de discussion sur le réseau Tor, et dans certains cas un représentant du groupe téléphone aux victimes pour faire pression sur elles.

Pour pénétrer dans le réseau, les acteurs exploitent des mots de passe divulgués, lancent des attaques massives par essais de mots de passe (force brute) et se connectent par VPN avec des adresses IP du fournisseur Mullvad. Ils utilisent aussi des comptes obtenus par hameçonnage. Une autre voie d’entrée passe par les vulnérabilités, c’est-à-dire des failles de sécurité connues, dans des équipements en périphérie de réseau tels que les pare-feu et dans d’autres systèmes exposés à Internet, à l’aide de scripts automatisés. L’avis recense cinq CVE : CVE-2020-3259, CVE-2023-20269, CVE-2023-27532, CVE-2024-40711 et CVE-2024-40766.

Une fois à l’intérieur, les acteurs créent ou s’approprient des comptes, se déplacent latéralement dans le réseau avec des outils légitimes tels que PsExec, WinRM et RDP, et désactivent les logiciels de sécurité. Ils compressent les données avec des outils comme 7-Zip et WinRAR et les envoient vers des comptes qu’ils contrôlent avec WinSCP et RClone. Pour compliquer la restauration, ils arrêtent le service de clichés instantanés de volume (Volume Shadow Copy Service) et rétablissent les paramètres d’usine des périphériques de stockage en réseau (NAS) qui contiennent les sauvegardes. Les fichiers chiffrés reçoivent l’extension .SafePay.

Ce que recommandent les agences

Les agences demandent aux organisations de mettre à jour régulièrement leurs systèmes et logiciels, en particulier les pare-feu et autres équipements en périphérie de réseau, en donnant la priorité aux vulnérabilités connues déjà exploitées. Elles appellent aussi à appliquer le modèle Zero Trust, à limiter les outils et privilèges d’administration à ceux qui en ont besoin, et à renforcer les comptes grâce à des politiques de gestion des identités, des justificatifs et des accès (ICAM) et à l’authentification multifacteur (MFA). Les mesures comprennent des mots de passe de 15 à 64 caractères, des sauvegardes hors ligne, chiffrées et immuables, et la segmentation du réseau.

Les agences n’encouragent pas le paiement des rançons, car le paiement ne garantit pas que les fichiers seront récupérés. Elles demandent aux victimes de signaler rapidement les incidents à l’IC3 du FBI, à un bureau local du FBI ou de l’USSS, ou à la CISA, et d’isoler les ordinateurs compromis.