Ciberseguridad
Ransomware SafePay: 600 víctimas y la puerta es tu clave
¿Tu VPN y tu correo piden doble factor? CISA y el FBI alertan que SafePay ya atacó 600 organizaciones con claves robadas. Qué revisar esta semana.
¿Por qué el ransomware SafePay es un riesgo para las pymes?
Porque SafePay entra casi siempre por la puerta más común: una contraseña robada, adivinada a fuerza de intentos o tomada por phishing, en una VPN o una cuenta sin verificación en dos pasos. El 20 de octubre de 2026, CISA, el FBI, el Servicio Secreto de Estados Unidos y policías de Alemania y Reino Unido publicaron un aviso conjunto: el grupo ha atacado al menos 600 organizaciones desde agosto de 2024, incluida Sudamérica. Si tu empresa tiene accesos remotos protegidos solo con contraseña, este aviso es para ti.
Resumen rápido
- Aviso conjunto AA26-293A de CISA, publicado el 20 de octubre de 2026.
- Al menos 600 víctimas en Norteamérica, Sudamérica, Europa y Australia; la cifra real es mayor porque el sitio de filtraciones solo muestra a quienes no pagaron.
- Entrada principal: credenciales expuestas, fuerza bruta, phishing, VPN y fallas conocidas en equipos de borde.
- Doble extorsión: roban los datos antes de cifrarlos.
- Atacan los respaldos: borran copias instantáneas y reinician los NAS donde están las copias de seguridad.
Cómo opera SafePay
SafePay apareció en agosto de 2024 y, a diferencia de otros grupos, no trabaja con afiliados: el mismo equipo hace todo el ataque. Según BleepingComputer, desde 2025 ocupó el espacio que dejaron grupos como LockBit y BlackCat.
| Etapa | Qué hace SafePay | Qué lo frena |
|---|---|---|
| Entrada | Usa contraseñas filtradas, fuerza bruta, phishing o fallas de VPN y firewalls | Verificación en dos pasos y parches en equipos expuestos |
| Movimiento | Usa herramientas de administración para saltar de un equipo a otro | Pocos administradores y permisos limitados |
| Robo | Copia los datos antes de cifrar | Monitoreo de salidas de datos inusuales |
| Sabotaje de respaldos | Borra copias instantáneas y reinicia NAS con backups | Una copia aislada o inmutable fuera de la red |
| Extorsión | Cifra y amenaza con publicar | Plan de respuesta y restauración probada |
El ángulo de Zero Azul: lo que vemos en nuestro propio servidor
Para dimensionar la parte de "fuerza bruta", revisamos los registros del servidor donde vive zeroazul.com. Entre el 18 y el 27 de octubre de 2026 hubo 2.254 intentos fallidos de entrar por SSH, desde 531 direcciones IP distintas. El usuario más probado fue admin (471 intentos), seguido de user, ubuntu y test. Ninguno entró, por dos razones: el servidor no acepta contraseñas, solo llaves criptográficas, y una herramienta (fail2ban) bloquea automáticamente las IP que insisten.
En la web pasa lo mismo: solo el 26 de octubre registramos más de 5.300 peticiones buscando rutas típicas de WordPress, como el panel de acceso, en un sitio que ni siquiera está hecho en WordPress. Son robots que recorren internet probando las mismas puertas en todas las empresas.
La lección para una pyme es directa: no te atacan porque seas importante, sino porque estás conectado. Si tu VPN, tu escritorio remoto o tu correo aceptan solo usuario y contraseña, esos mismos robots ya los están probando.
Qué revisar esta semana
- Verificación en dos pasos en todo lo remoto: VPN, correo, escritorio remoto, paneles de hosting y del firewall.
- Nada de escritorio remoto abierto a internet: si alguien necesita entrar, que sea por VPN con doble factor.
- Actualiza primero lo que está expuesto: VPN, firewall y software de respaldo. CISA prioriza las fallas de su catálogo de vulnerabilidades explotadas.
- Revisa quién es administrador y quita los permisos que nadie usa.
- Prueba que tu copia de seguridad sobrevive a un ataque: al menos una copia debe estar fuera de la red y no poder borrarse con las credenciales de la empresa.
- Revisa si tus claves ya están filtradas en servicios como Have I Been Pwned y cambia las repetidas.
En Zero Azul hacemos esta revisión dentro de nuestro servicio de ciberseguridad para empresas y configuramos servidores con acceso por llaves, bloqueo automático y respaldos aislados en infraestructura en la nube. Para profundizar, lee por qué tu backup en la nube no basta y qué revisar si tu VPN es Palo Alto GlobalProtect.
Preguntas frecuentes
¿Qué es el ransomware SafePay?
Es un grupo de ransomware activo desde agosto de 2024 que, según CISA y el FBI, ha atacado al menos 600 organizaciones en Norteamérica, Sudamérica, Europa y Australia. Roba los datos antes de cifrarlos y amenaza con publicarlos si la víctima no paga.
¿Cómo entra SafePay a las redes de las empresas?
Principalmente con credenciales: contraseñas filtradas, ataques de fuerza bruta, cuentas obtenidas con phishing y accesos de VPN. También usa scripts automáticos que explotan fallas conocidas en VPN, firewalls y otros equipos expuestos a internet.
¿Cómo protejo a mi pyme del ransomware SafePay?
Activa la verificación en dos pasos en VPN, correo y paneles de administración, actualiza primero los equipos expuestos a internet y limita quién tiene permisos de administrador. Guarda además una copia de seguridad que no se pueda borrar desde la red de la empresa.
¿Sirve pagar el rescate de un ransomware?
CISA advierte que pagar no garantiza recuperar los archivos, y con la doble extorsión los datos robados pueden publicarse igual. La recomendación oficial es no pagar, reportar el incidente a las autoridades y restaurar desde copias de seguridad aisladas.
¿Por qué SafePay borra las copias de seguridad?
Porque una empresa que puede restaurar sus datos no tiene motivo para pagar. El aviso conjunto describe que el grupo elimina las copias instantáneas de Windows y reinicia los equipos NAS donde se guardan los respaldos.