CISA en de FBI waarschuwen in een gezamenlijke advisory (AA26-293a) dat de ransomwaregroep SafePay sinds het opduiken in augustus 2024 wereldwijd al meer dan 600 organisaties in de kritieke infrastructuur heeft getroffen. De aanvallen raakten organisaties in Noord-Amerika, Zuid-Amerika, Europa en Australië, verspreid over meerdere sectoren binnen de kritieke infrastructuur.
SafePay werkt, anders dan veel andere ransomwarebendes, als besloten groep zonder netwerk van affiliates die een deel van het losgeld krijgen. Sinds begin 2025 heeft de groep volgens CISA het gat opgevuld dat de val van BlackCat (ALPHV) en LockBit in de ransomware-economie achterliet. Op de eigen lekwebsite van SafePay staan honderden slachtoffers vermeld, maar dat zijn alleen de organisaties die niet betaalden. Het werkelijke aantal getroffen organisaties ligt dus hoger dan wat daar zichtbaar is.
Inbraak via VPN’s, phishing en verouderde edge-apparatuur
Voor de eerste toegang tot netwerken leunt SafePay vooral op bekende, relatief goedkope methodes. De groep breekt in via blootgestelde of zwakke inloggegevens en brute-force-aanvallen, misbruikt VPN-toegang (CISA noemt daarbij specifiek IP-adressen van de VPN-dienst Mullvad) en zet phishing in om accountgegevens te bemachtigen. Daarnaast draait de groep geautomatiseerde scripts die bekende kwetsbaarheden in VPN-concentrators, firewalls en andere vanaf internet bereikbare edge-apparatuur scannen en misbruiken.
Eenmaal binnen werkt SafePay volgens het inmiddels vertrouwde dubbele-afpersingsmodel: eerst steelt de groep gevoelige bedrijfsdocumenten, pas daarna volgt de versleuteling van systemen. Betaalt een slachtoffer niet, dan dreigt SafePay de buitgemaakte data openbaar te maken. Om herstel extra lastig te maken verwijdert de groep bovendien shadow copies en zet ze netwerkopslag met back-ups terug naar fabrieksinstellingen.
Advies: MFA, snel patchen en beperkte adminrechten
CISA en de FBI roepen organisaties op om beheertools en adminrechten te beperken, zodat een aanvaller die toch binnenkomt zich minder makkelijk lateraal door het netwerk kan verplaatsen. Daarnaast adviseren de diensten multifactorauthenticatie en identity- en accessmanagementbeleid in te voeren, en vooral VPN’s, firewalls en andere edge-apparatuur snel te patchen, met voorrang voor kwetsbaarheden uit CISA’s Known Exploited Vulnerabilities-catalogus. Betalen van het losgeld garandeert volgens de diensten geen herstel van versleutelde bestanden; slachtoffers wordt aangeraden incidenten altijd bij de politie te melden. De advisory zelf bevat indicators of compromise en aan MITRE ATT&CK gekoppelde technieken, verzameld uit onderzoeken tussen november 2024 en augustus 2026.
Voor Nederlandse organisaties in sectoren als energie, zorg, water en industrie is dit advies direct relevant. SafePay maakt wereldwijd geen onderscheid naar land en jaagt juist op de zwakke plekken die in deze sectoren vaker voorkomen: verouderde VPN-apparatuur, gedeelde of hergebruikte wachtwoorden en trage patchcycli op systemen die niet zomaar even offline kunnen voor onderhoud. Breng in kaart welke VPN’s, firewalls en andere systemen vanaf het publieke internet bereikbaar zijn, controleer of daar nog bekende kwetsbaarheden in open staan en zorg dat MFA niet alleen op gebruikers- maar ook op beheeraccounts staat ingeschakeld. Test bovendien of back-ups ook herstel mogelijk maken wanneer productieomgeving én NAS tegelijk zijn geraakt, want precies daarop rekent SafePay.
Bron: BleepingComputer
Wat betekent dit voor jouw bedrijf?
Beheert u kritieke infrastructuur (energie, zorg, water, industrie)? Controleer nu welke VPN's en edge-apparatuur vanaf internet bereikbaar zijn, patch kwetsbaarheden uit CISA's KEV-catalogus met voorrang en schakel MFA ook voor beheeraccounts in.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.