CISA, el FBI y agencias de Alemania y Reino Unido alertan sobre SafePay, un ransomware que ha atacado al menos a 600 organizaciones en Europa, América y Australia. Entra por VPN, contraseñas robadas y firewalls sin parchear. Si tu empresa tiene accesos remotos, revisa esta semana parches, MFA y copias de seguridad offline.
Lo esencial
- El aviso conjunto AA26-293A se publicó el 20 de octubre de 2026. Lo firman el FBI, CISA, el Servicio Secreto de EE. UU., la policía criminal de Renania-Palatinado (Alemania), la National Crime Agency británica y la North West Regional Organised Crime Unit.
- SafePay ha afectado al menos a 600 organizaciones desde agosto de 2024 y es uno de los grupos más activos de 2026, según The Record. La cifra real es mayor: solo publica a quienes no pagan.
- Explota con scripts automatizados cinco vulnerabilidades en dispositivos perimetrales y sistemas expuestos: CVE-2020-3259, CVE-2023-20269, CVE-2023-27532, CVE-2024-40711 y CVE-2024-40766.
- Cifra con ChaCha20 y RSA y deja los archivos con la extensión .SafePay. Sin la clave no se recuperan.
- Pide un porcentaje de los ingresos de la empresa en criptomoneda y llama por teléfono a la víctima para presionar.
¿Me afecta si mi empresa tiene VPN o acceso remoto?
Probablemente encajas en su perfil. El aviso no da cifras de víctimas en España, pero SafePay opera en Europa y entra por puertas que tiene casi cualquier pyme. Según BleepingComputer y el propio aviso, el acceso inicial llega por tres vías:
- Credenciales expuestas o adivinadas por fuerza bruta.
- Accesos VPN y vulnerabilidades en firewalls y otros equipos conectados a internet.
- Cuentas obtenidas con phishing, usadas desde IPs del proveedor de VPN Mullvad.
Si tu VPN no pide un segundo factor, o tu firewall lleva meses sin actualizar, eres justo lo que buscan sus scripts.
¿Cómo actúa una vez dentro?
Crea cuentas nuevas o se apropia de las existentes. Se mueve por la red con PsExec, WinRM, RDP y software de gestión remota, desactiva las protecciones y a veces cambia las contraseñas de los usuarios para dejarlos fuera.
Para sacar datos usa herramientas legítimas: FileZilla, 7-Zip, RClone, WinRAR, WinSCP y, en algunos casos, OneDrive. Para instalar el ransomware tira de AnyDesk, TeamViewer y ScreenConnect. Ninguna de estas herramientas es maliciosa en sí misma, así que tu antivirus no tiene por qué saltar.
¿Sirven mis copias de seguridad?
Depende de dónde estén. SafePay detiene el servicio de instantáneas de volumen (Volume Shadow Copy) y restablece a valores de fábrica los NAS que guardan copias. Si tu copia vive en un NAS accesible desde la red con credenciales del dominio, el atacante la borra antes de cifrar. Solo te salva una copia offline o inmutable que hayas probado a restaurar.
Qué hacer hoy
- Pide a tu proveedor de TI o al fabricante que confirme por escrito que firewalls, VPN y demás equipos perimetrales están actualizados y que no les afecta ninguno de los cinco CVE del aviso.
- Activa MFA en la VPN, el correo y todas las cuentas de administración.
- Revisa si hay cuentas nuevas o con privilegios que nadie reconoce.
- Haz inventario de AnyDesk, TeamViewer, ScreenConnect y cualquier otra herramienta de acceso remoto. Desinstala las que no se usen.
- Comprueba que tienes una copia offline o inmutable, que el NAS de copias no acepta credenciales de dominio y que alguien ha hecho una restauración de prueba.
- Avisa a la plantilla: una llamada que presiona para pagar o para contactar con «el grupo» forma parte de la extorsión y hay que comunicarla en el momento.
Si detectas una intrusión, aísla los equipos afectados y denuncia. En España puedes pedir ayuda al 017 de INCIBE.
Qué significa para una pyme
Este aviso no trae ninguna técnica nueva. Eso es lo preocupante. SafePay acumula cientos de víctimas con métodos conocidos: contraseñas débiles, VPN sin segundo factor y equipos perimetrales con vulnerabilidades publicadas hace años. La más antigua del aviso es de 2020.
En muchas pymes el firewall y la VPN se instalan una vez y se olvidan. Nadie tiene asignado actualizarlos. Esa tierra de nadie es lo que explotan los scripts automatizados: no te eligen a ti, eligen a cualquiera que siga sin parchear.
Nuestra postura: antes de comprar otra herramienta, cierra las puertas de la lista anterior. Son baratas y se comprueban en días. Y asume que el atacante usará software legítimo que ya tienes instalado, así que reduce lo que hay y vigila quién lo usa.
Sobre pagar, CISA es clara: pagar no garantiza recuperar los archivos. Tu plan B tiene que ser una copia que el atacante no pueda tocar, no la esperanza de negociar. Si quieres una segunda opinión sobre tu perímetro, aquí explicamos cómo trabajamos en ciberseguridad.
Preguntas frecuentes
¿Hay víctimas de SafePay en España?
El aviso no da cifras por país. Sí confirma que el grupo opera en Europa y que la cifra real de víctimas supera a las que publica.
¿Puedo recuperar los archivos sin pagar?
No sin la clave: el cifrado combina ChaCha20 y RSA. La vía realista es restaurar desde una copia offline o inmutable.
¿Qué hago si me llaman exigiendo el rescate?
No negocies por tu cuenta. Comunícalo de inmediato, aísla los equipos afectados y denuncia. Pagar no garantiza recuperar los datos.
