SafePay
Un grupo de ransomware cerrado, sin afiliados, con más de 600 víctimas, que pide un porcentaje de lo que factura la empresa y llama por teléfono para presionar.
Quién es
SafePay es un grupo de ransomware muy activo desde agosto de 2024, con al menos 600 víctimas, según el aviso conjunto AA26-293A de CISA, el FBI, el Servicio Secreto, la policía de Renania-Palatinado y la NCA británica, publicado el 20 de octubre de 2026. Opera como un grupo cerrado que maneja su propia infraestructura y sus negociaciones, en vez de rentar su ransomware a afiliados. Su cifrador se parece mucho al de LockBit 3.0.
Cómo entra
Con contraseñas robadas o adivinadas, fuerza bruta y accesos VPN, phishing y explotando equipos de borde y de respaldo: CVE-2020-3259 y CVE-2023-20269 de Cisco ASA y FTD, CVE-2023-27532 y CVE-2024-40711 de Veeam Backup and Replication, y CVE-2024-40766 de SonicWall.
Qué hace una vez dentro
Se mueve con PsExec, WinRM, escritorio remoto y PowerShell, roba credenciales con Mimikatz y usa herramientas de control remoto como ScreenConnect y AnyDesk. Saca la información con RClone, WinSCP o servicios en la nube, borra las instantáneas y hasta restablece de fábrica los equipos de respaldo. Cifra con la extensión .SafePay, pide un porcentaje de la facturación en criptomonedas y llama a las víctimas para presionar.
A quién ataca
Empresas y varios sectores de infraestructura crítica en Norteamérica, Sudamérica, Europa y Australia, con muchos proveedores de servicios administrados y pymes. En julio de 2025 provocó la caída global de Ingram Micro. En México, la prensa reportó que en marzo de 2025 el grupo reclamó a Haven Resorts, en Cancún. En nuestra base tiene 9 víctimas publicadas en México.
En México
10 víctimas publicadas en su sitio de filtraciones entre el 7-ene-2025 y el 31-oct-2026, en 8 sectores.
Cifra en agregado: no publicamos nombres de víctimas. Que una organización aparezca en un sitio de filtraciones es lo que dice el grupo, no una confirmación.
Vulnerabilidades que explota
| CVE | Producto | CVSS | KEV de CISA |
|---|---|---|---|
| CVE-2024-40711 | Veeam Backup and Replication | 9.8 | Sí |
| CVE-2024-40766 | SonicWall SonicOS | 9.8 | Sí |
| CVE-2020-3259 | Cisco ASA y FTD | 7.5 | Sí |
| CVE-2023-27532 | Veeam Backup and Replication | 7.5 | Sí |
| CVE-2023-20269 | Cisco ASA y FTD | 5 | Sí |
Documentadas en los avisos y reportes de la sección Fuentes.
Villanos relacionados
Fuentes
- CISA, FBI y socios, aviso #StopRansomware: SafePay (AA26-293A)
- Publimetro, ciberataque en Cancún (2025)
- Base de Inteligencia de Amenazas QMA: víctimas publicadas en México
