I rapporti sulla sicurezza pubblicati nei giorni scorsi hanno portato alla luce un avvertimento internazionale sull'attività del gruppo SafePay, specializzato in attacchi ransomware, dopo che le autorità di sicurezza hanno rivelato che il gruppo è penetrato in più di 600 organizzazioni legate a infrastrutture critiche dalla sua comparsa nel 2024.
L’avvertimento originale, emesso il 20 ottobre 2026, è arrivato come parte di un rapporto congiunto a cui hanno partecipato la Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti, l’FBI e i servizi segreti statunitensi, insieme alle agenzie di sicurezza in Germania e nel Regno Unito.
E ho avvertito Le parti partecipanti hanno confermato che il gruppo è diventato un'operazione di cyber ransomware attiva a livello globale nel corso del 2026 e che i suoi attacchi prendono di mira organizzazioni in Nord e Sud America, Europa e Australia.
Rivista CPO+1
Come effettua i suoi attacchi SafePay?
Secondo i dettagli nell'avviso, non fare affidamento Il gruppo contiene necessariamente vulnerabilità nuove e sconosciute, ma piuttosto sfrutta le vulnerabilità riscontrate negli ambienti aziendali, tra cui credenziali di accesso rubate, account con password deboli e sistemi che non hanno ricevuto aggiornamenti di sicurezza adeguati.
Questi metodi prendono di mira gli ambienti Reti aziendali, soprattutto quando l'accesso remoto o gli account utente non sono adeguatamente protetti.
Dopo l'accesso non autorizzato, il gruppo può abusare di strumenti amministrativi legittimi situati all'interno della rete, rendendo la sua attività più difficile da rilevare se non fosse presente. Sistemi di monitoraggio efficaci.
I rapporti mostrano anche che gli aggressori potrebbero tentare di disabilitare la protezione e i backup prima di crittografare i file.
Il doppio ricatto raddoppia i rischi
SafePay utilizza una doppia tattica di estorsione, che combina l'interruzione dei dati o la crittografia con le minacce Pubblicazione di informazioni rubate.
Questo approccio pone le aziende di fronte a due problemi distinti: ripristinare la capacità di far funzionare i sistemi e gestire la possibilità di fuga di dati di clienti o dipendenti o informazioni aziendali.
L’impatto dell’attacco diventa più grave quando l’operazione prende di mira un’organizzazione avanzata Servizi essenziali, perché i tempi di inattività dei sistemi possono colpire settori più ampi rispetto alla stessa azienda vittima.
Nel settore sanitario, ad esempio, l’interruzione dei sistemi informativi può portare a difficoltà operative immediate, mentre le imprese industriali potrebbero dover affrontare interruzioni nelle catene produttive e logistiche.
Lacune Quello vecchio è ancora un problema di sicurezza
Una delle cose più importanti rivelate dal caso è che una serie di vulnerabilità legate ai metodi del gruppo sono note da anni e che ad alcune di esse erano state precedentemente fornite soluzioni di sicurezza.
Ciò dimostra che la presenza di un aggiornamento di sicurezza non significa necessariamente che tutte le organizzazioni lo abbiano implementato.
Le grandi aziende possono Gestisci centinaia o migliaia di sistemi interconnessi, il che rende la gestione degli aggiornamenti e l'impostazione delle priorità di sicurezza una sfida costante.
La dipendenza da software o hardware obsoleti e difficili da fermare porta anche a ritardi nelle operazioni di elaborazione, soprattutto nelle organizzazioni che devono operare senza intoppi Continuo.
Perché gli attacchi rappresentano una minaccia per le aziende?
Le perdite derivanti dal ransomware non si limitano al denaro che gli aggressori potrebbero richiedere.
Le organizzazioni possono sostenere costi per tempi di inattività, ripristino dei dati, indagini tecniche, consulenze legali e notifiche ai clienti Fuga comprovata di informazioni personali.
La fiducia delle imprese in un'organizzazione può essere danneggiata anche se questa non è in grado di spiegare come proteggere i sistemi o ripristinare i servizi.
L'FBI avverte che il pagamento del riscatto non fornisce una garanzia che i dati verranno recuperati né impedisce il rilascio di informazioni rubate.
Quali misure difensive sono necessarie?
concentrarsi L’avvertimento comune è implementare l’autenticazione a più fattori, ridurre l’accesso amministrativo e aggiornare l’hardware di rete e il software di accesso remoto.
Le autorità di sicurezza hanno inoltre sottolineato l'importanza di proteggere le copie di backup, di proteggerle da modifiche o cancellazioni e di monitorare le attività non autorizzate usuale all'interno delle reti.
Le organizzazioni devono inoltre testare i propri piani di risposta agli incidenti anziché limitarsi a disporre semplicemente di policy scritte non testate.
In pratica, la gestione degli account, le autorizzazioni e gli aggiornamenti sono elementi chiave per limitare la capacità degli aggressori di muoversi all'interno Sistemi.
Qual è il prossimo passo?
Si prevede che le autorità di sicurezza continueranno a essere interessate a monitorare i metodi SafePay e ad aggiornare gli indicatori noti di compromissione.
Per quanto riguarda le aziende, la priorità è rivedere i punti di accesso esterni, valutare i sistemi legacy e verificare la possibilità di recuperare i propri dati in sicurezza in caso di... Si verifica un incidente.
Questo caso conferma che un aspetto importante della sicurezza informatica dipende dall’applicazione continua di misure di protezione note e non solo dal possesso di strumenti di sicurezza avanzati.
