米国、ドイツ、英国の政府機関が共同で発表した勧告によると、ランサムウェアグループ「SafePay」は少なくとも600の重要インフラ組織を侵害しました。
勧告を作成した米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）などの機関は、SafePayが2024年8月に登場して以降、北米、南米、欧州、オーストラリアの企業や重要インフラに被害が及んでいると警告しています。
勧告は、SafePayが初期アクセスや侵害後の活動で幅広い手法を使っていると指摘しました。そのうえで、セキュリティチームにSafePayの脅威を軽減するための対策を講じるよう促しています。
また、このグループは2026年に最も活発なランサムウェアグループの一つだったとも指摘しています。
2026年6月に公表されたBlacKiteのレポートによると、SafePayは2026年の最初の4カ月間で3番目に活発なランサムウェアグループでした。攻撃の標的はドイツに集中していたといいます。
NCC Groupの調査でも、SafePayは2026年5月に最も活発なランサムウェアグループでした。同月の犯行声明は70件に上ります。
SafePayは、LockBit、ALPHV/BlackCat、INC Ransomwareなど、複数の著名グループが名前を変えたものである可能性があるとみられています。
SafePayは、米ビジネスサービス企業Conduentに対する2024年11月のランサムウェア攻撃にも関与したとみられています。この攻撃では、大量の個人情報や医療関連データが外部に流出しました。Conduentは2026年10月16日、このデータ侵害をめぐる集団訴訟を解決するため、8,000万ドルを支払うことで合意しました。
多岐にわたる初期アクセス手法
CISAが10月20日に公表した勧告は、SafePayが多様な初期アクセスの手段を使っていると指摘しています。具体的には、認証情報の露出、ブルートフォース攻撃によるパスワードの突破、仮想プライベートネットワーク（VPN）アクセスの悪用、エッジデバイス製品の脆弱性の悪用などです。
ネットワークに侵入すると、SafePayの攻撃者は既存のアカウントや新規作成したアカウントで管理者権限の取得を試みます。その権限を使って横方向に移動し、機密性の高いシステムやデータにアクセスします。この際、PsExec、WinRM、リモート監視・管理（RMM）ソフトウェアなど、OS標準の管理ツールを使う「環境寄生型（LOTL）」の手法を取ります。
さらに、リモートデスクトッププロトコル（RDP）も使い、侵害したネットワーク内での足場を広げています。
SafePayの攻撃者は通常、検知を逃れるためにセキュリティソフトを無効化します。コードを隠すため、ソフトウェアのパッキングや仮想マシンによるソフトウェア保護を使う例も確認されています。
被害組織のネットワークから攻撃者管理下のアカウントへデータを持ち出す際には、FileZilla、OneDrive、7-Zip、RClone、WinRARといった正規のファイル転送ツールを悪用します。
データの持ち出し後、攻撃者は高度なハイブリッド暗号方式で被害組織のファイルを暗号化します。この方式は、ストリーム暗号のChaCha20とRSA公開鍵暗号を組み合わせたものです。
電話で被害者に圧力
SafePayは二重恐喝の手口を使います。被害システムのデスクトップやルートディレクトリなどに脅迫文を残し、システムを暗号化したことを通告します。被害者にはTORの.onionリンク経由のチャットポータルに連絡するよう求め、ログインには被害者IDを使わせます。
SafePayは通常、復号ソフトウェアと引き換えに、企業の収益の一部に相当する額を暗号資産で要求します。
グループの代表者が被害者に電話をかけ、支払いへの圧力を強めることもあります。
被害組織が支払いを拒否すると、SafePayは持ち出したデータをリークサイトに公開します。このサイトへのリンクは、最初の脅迫文に記載されています。
SafePayの攻撃から身を守るには
勧告は、SafePayの既知の戦術・技術・手順（TTP）に対する組織の耐性を高めるため、セキュリティチーム向けに複数の対策を示しています。主な内容は次のとおりです。
- 悪用が確認されている既知の脆弱性（KEV）の修正を優先し、すべてのOS、ソフトウェア、ファームウェアを最新の状態に保つ
- 組織全体でID・認証情報・アクセス管理（ICAM）ポリシーを導入し、すべてのアカウントに多要素認証（MFA）を必須とする
- データのオフラインバックアップを維持し、バックアップと復元の手順を定期的にテスト・維持する
- すべてのバックアップデータを暗号化して改ざん不能にし、組織全体のデータ基盤を網羅する
- 機密データや独自データ、サーバーの複数のコピーを、物理的に分離され、セグメント化された安全な場所に保管する復旧計画を実施する
- ランサムウェアの拡散を防ぐため、ネットワークをセグメント化する
- ネットワーク監視ツールで、異常な活動やランサムウェアの横展開の可能性を特定・検知・調査する
翻訳元: https://www.infosecurity-magazine.com/news/safepay-compromised-critical/
