Un gruppo ransomware comparso solo nell'agosto 2024 ha già violato più di 600 organizzazioni in Nord America, Sud America, Europa e Australia, colpendo in diversi casi infrastrutture critiche. Lo rivela un avviso congiunto pubblicato il 20 ottobre 2026 da CISA, FBI, Secret Service, dalla polizia criminale tedesca del Land Renania-Palatinato e dalle autorità britanniche contro il crimine organizzato, dedicato al gruppo SafePay. A differenza di molte operazioni ransomware note, SafePay non lavora con una rete di affiliati esterni: gestisce in proprio ogni fase dell'attacco, dall'accesso iniziale all'estorsione finale, un modello che negli ultimi due anni gli ha permesso di riempire rapidamente il vuoto lasciato dallo smantellamento di BlackCat/ALPHV e LockBit.
Come opera il gruppo SafePay
L'avviso congiunto, identificato come AA26-293A, copre le attività osservate tra novembre 2024 e agosto 2026 e descrive un'organizzazione insolitamente "verticale" per il panorama ransomware attuale: niente programma di affiliazione (Ransomware-as-a-Service) con decine di gruppi esterni che eseguono gli attacchi in cambio di una percentuale del riscatto, come avviene per la maggior parte delle operazioni oggi attive, ma un'unica squadra che controlla l'intera catena. Le vittime pubblicate sul suo sito di leak, secondo le agenzie, rappresentano solo una parte del totale reale, perché il gruppo non rende pubbliche le organizzazioni che hanno pagato il riscatto.
L'accesso iniziale: credenziali, VPN e dispositivi di perimetro
Per entrare nelle reti delle vittime, SafePay punta soprattutto su tre strade: furto o indovinamento di credenziali (incluso il brute force), accesso VPN compromesso e sfruttamento di vulnerabilità note nei dispositivi di perimetro aziendale. Le agenzie segnalano in particolare l'uso di indirizzi IP del servizio VPN Mullvad per mascherare le connessioni degli attaccanti, oltre ad account rubati tramite phishing. Tra le vulnerabilità sfruttate figurano CVE-2020-3259, CVE-2023-20269, CVE-2023-27532, CVE-2024-40711 e CVE-2024-40766, tutte relative a prodotti di rete e backup largamente diffusi nelle aziende di ogni dimensione: un ulteriore promemoria di quanto conti, anche per infrastrutture non in prima linea mediatica, mantenere aggiornati firewall, VPN e appliance di backup.
Movimento laterale, furto dati e cifratura
Una volta dentro la rete, gli operatori di SafePay si muovono con strumenti legittimi di amministrazione di sistema invece che con malware personalizzato, una tecnica nota come "living off the land" che rende gli attacchi più difficili da distinguere dall'attività IT ordinaria: PsExec, Windows Remote Management e RDP per spostarsi tra i sistemi, script come ShareFinder.ps1 e SharpShares.exe per mappare le cartelle condivise in rete, Mimikatz e un bypass del controllo account utente (UAC) per impossessarsi di credenziali con privilegi elevati. Per sottrarre i dati prima della cifratura vengono usati strumenti di compressione e trasferimento comuni come 7-Zip, WinRAR, FileZilla, RClone, WinSCP, insieme a servizi cloud come OneDrive e lo strumento b2.exe di Backblaze; l'accesso remoto durante l'attacco passa spesso da AnyDesk e TeamViewer. Nella fase finale, i file vengono cifrati con l'algoritmo ChaCha20 combinato con RSA e rinominati con l'estensione .SafePay; il gruppo arriva a disattivare il servizio Volume Shadow Copy di Windows e a riportare ai valori di fabbrica i dispositivi NAS che contengono le copie di backup, nel tentativo di rendere impossibile un ripristino autonomo. In alcuni casi il ransomware si autoelimina dopo aver completato la cifratura, per complicare l'analisi forense successiva.
Doppia estorsione e pressione sulle vittime
Come la maggior parte dei gruppi ransomware attivi oggi, SafePay applica lo schema della doppia estorsione: minaccia di pubblicare i dati sottratti su un sito di leak se il riscatto, che il gruppo chiede tipicamente come percentuale del fatturato dell'azienda colpita e in criptovaluta, non viene pagato. Le note di riscatto indirizzano le vittime verso un portale di chat su rete TOR, e le agenzie segnalano anche l'uso di telefonate dirette per aumentare la pressione psicologica. Diverse analisi indipendenti, comprese ricerche di piattaforme di intelligence sulle minacce, hanno individuato tra le vittime anche realtà italiane, segno che il fenomeno non riguarda soltanto le grandi infrastrutture nordamericane citate nell'avviso ma colpisce anche aziende di dimensioni medie e piccole, spesso meno equipaggiate per rispondere.
Le contromisure raccomandate da CISA
L'avviso congiunto raccomanda alle organizzazioni di ogni settore un pacchetto di misure ormai consolidato ma ancora troppo spesso trascurato: autenticazione a più fattori ovunque possibile, politiche di gestione delle identità e degli accessi (ICAM) che limitino i privilegi amministrativi al minimo necessario, aggiornamento prioritario di VPN, firewall e dispositivi di perimetro elencati nel catalogo delle vulnerabilità note sfruttate di CISA, segmentazione della rete per impedire il movimento laterale e, soprattutto, copie di backup mantenute offline o comunque isolate dalla rete principale, proprio per resistere ai tentativi di distruzione osservati in questi attacchi. Le agenzie ribadiscono inoltre un punto spesso sottovalutato: pagare il riscatto non garantisce il recupero dei file né impedisce che i dati sottratti vengano comunque diffusi, e invitano le vittime a segnalare sempre l'incidente alle forze dell'ordine competenti.
Il commento di PINET
Per le imprese italiane, soprattutto le piccole e medie, questo avviso descrive un rischio concreto e non solo uno scenario da grande azienda americana: le ricerche citate nell'articolo mostrano vittime SafePay anche in Italia, e le tecniche descritte, credenziali deboli, VPN datate, backup collegati permanentemente alla rete, sono esattamente i punti deboli più comuni nelle realtà che non hanno un reparto IT dedicato alla sicurezza. Il recepimento della direttiva NIS2 spinge in teoria verso standard più alti di igiene informatica anche per aziende finora escluse da obblighi di questo tipo, ma la distanza tra l'obbligo normativo e la capacità reale di applicarlo resta ampia, soprattutto per chi non può permettersi un backup offline gestito correttamente o un monitoraggio continuo degli accessi VPN. Senza drammatizzare, perché non ogni azienda è un obiettivo di alto valore per un gruppo come SafePay, il punto pratico che questo avviso lascia alle imprese italiane è verificabile da chiunque in poche ore: controllare se le copie di backup sono davvero isolate dalla rete principale, e se l'accesso VPN aziendale richiede più di una semplice password.
Fonte: CISA e BleepingComputer. Sullo stesso tema, su PINET: il rapporto ENISA 2026 sulle minacce cyber in Europa e la catena di vulnerabilità Plex2Shell.
