米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、ランサムウェアグループ「SafePay」が2024年以降、世界の重要インフラ組織600以上に侵入したと発表しました。
CISAはFBI、米シークレットサービス（USSS）、ドイツのラインラント＝プファルツ州刑事庁（Landeskriminalamt Rheinland-Pfalz）、英国家犯罪対策庁（NCA）および北西部地域組織犯罪対策ユニットと共同で報告書を公表しました。報告書では、身代金を支払ってもランサムウェア攻撃で暗号化されたファイルが復旧できる保証はないと指摘し、被害に遭った組織には法執行機関への届け出を促しています。
CISAは「SafePayは最も活発なランサムウェアグループの一つであり、北米、南米、欧州、オーストラリアの企業や重要インフラに被害を及ぼしている。2024年8月以降だけでも、複数の重要インフラ分野にまたがる少なくとも600組織が被害を受けた」と述べています。
「SafePayの攻撃者は、認証情報の流出、パスワードのブルートフォース攻撃、仮想プライベートネットワーク（VPN）アクセスの悪用など、さまざまな手段で初期侵入を果たす。特にVPNプロバイダー『Mullvad』のIPアドレスが使われている」
共同で報告書を作成した各機関は、ネットワーク防御担当者に対し、このグループの攻撃に備えるための対策を示しました。侵害後の横展開を防ぐため管理ツールや権限を制限すること、アカウントのセキュリティを高めるため多要素認証（MFA）とID・認証情報・アクセス管理（ICAM）のポリシーを導入することが柱です。
セキュリティチームには、システムを最新の状態に保つことも求めています。特にVPNやファイアウォールなどのエッジデバイスに影響する脆弱性のうち、CISAの悪用が確認された脆弱性カタログに追加されたものを優先すべきです。SafePayは、被害組織のネットワークへの初期侵入にこれらの脆弱性をたびたび狙うためです。
CISAは「フィッシングで入手したアカウント情報を使ってネットワークに侵入するほか、自動化スクリプトを通じて、エッジデバイスやインターネットに公開されたシステムの共通脆弱性識別子（CVE）を悪用する。SafePayの攻撃者は、シャドウコピーを削除したり、バックアップを保存したネットワーク接続ストレージ（NAS）をリセットしたりして、復旧作業を妨害することもある」と付け加えています。
勧告には、2024年11月から2026年8月にかけてFBI、USSS、ラインラント＝プファルツ州刑事庁の捜査で確認されたSafePayランサムウェアの活動に関する侵害指標（IOC）と戦術・技術・手順（TTP）も掲載されています。
類似の組織とは異なり、SafePayは2024年8月に登場した、アフィリエイトと連携しない非公開型のランサムウェアグループです。
これまでに、北米、南米、欧州、オーストラリアの被害者数百組織を、ダークウェブ上のリークサイトに掲載してきました。ただし、リークサイトに載るのは身代金を支払わなかった被害者だけです。実際に侵入して恐喝を試みた被害者の数は、これより多いとみられます。
このグループは二重恐喝の手口でも知られています。被害者のシステムを暗号化する前に機密文書を盗み出し、身代金が支払われなければ盗んだデータをすべてオンラインで公開すると脅します。
SafePayは2025年の初めから、BlackCat（ALPHV）やLockBitのランサムウェアが抜けた穴を徐々に埋め、最も活発なランサムウェア集団の一つとなっています。
