Ransomware SafePay: cómo entra y qué hacer

Qué ha pasado

El 20 de octubre de 2026 el FBI, CISA, el Servicio Secreto de EE. UU. y cuerpos policiales de Alemania y el Reino Unido publicaron un aviso conjunto sobre SafePay, un grupo de ransomware activo desde agosto de 2024. El aviso indica que SafePay ha afectado al menos a 600 víctimas distintas en varios sectores de infraestructuras críticas.

Cómo entran

Según el aviso, los atacantes suelen empezar por una de estas vías:

• Contraseñas robadas o expuestas, y ataques de fuerza bruta para adivinarlas.
• Acceso mediante cuentas de VPN.
• Dispositivos accesibles desde internet, como cortafuegos, con fallos conocidos que no se han corregido.

Qué hacen después

• Van a por tus copias de seguridad. El aviso dice que detienen el servicio de instantáneas de Windows, restablecen a valores de fábrica el almacenamiento en red donde están las copias y, en algunos casos, borraron todas las copias conectadas a la red.
• Roban datos primero, y después cifran los archivos. Los archivos cifrados reciben la extensión .SafePay.
• Presionan a la víctima. La nota de rescate remite a un portal de chat, un representante del grupo llama por teléfono a la víctima y, si no paga, los datos robados se publican en un sitio de filtraciones.

Qué recomiendan las agencias

1. Aplica los parches con rapidez, empezando por los sistemas accesibles desde internet.
2. Usa verificación en varios pasos, sobre todo en el correo, la VPN y las cuentas críticas.
3. Usa contraseñas largas y únicas, bloquea las cuentas tras varios intentos fallidos y evita forzar cambios frecuentes.
4. Guarda copias de seguridad cifradas y sin conexión o inmutables, en más de un lugar separado, y prueba a restaurarlas con regularidad.
5. Limita las cuentas de administrador y da a cada persona solo el acceso que necesita.
6. Segmenta la red y usa una supervisión que detecte actividad inusual.

Nuestra opinión para un equipo pequeño

Consejo nuestro, no procede del aviso: dos de estas medidas cuestan poco y importan mucho a una empresa pequeña. La primera, proteger las cuentas que pueden restablecerlo todo, empezando por el correo. La segunda, tener una copia de seguridad que alguien con tu cuenta principal no pueda borrar, y restaurarla una vez para comprobar que funciona. Nuestros runbooks n.º 4 (Blindaje de cuentas) y n.º 5 (Copias de seguridad y restauración) están pensados justo para esas dos cosas.

Una nota sobre los detalles técnicos

El aviso incluye además indicadores de compromiso para equipos de seguridad. Advierte de que algunas de las herramientas que lista son legítimas y de que conviene verificar las direcciones antes de bloquearlas. Si te ocupas de la seguridad de una organización grande, lee el aviso completo.