- CISA及合作機構確認SafePay活動截至2026年8月仍然存在。
- SafePay影響來自多個關鍵基礎設施行業的至少600名不同受害者。
- 相關行動者通常透過竊取或猜測密碼、利用漏洞及網絡釣魚取得存取權。
CISA及合作機構於2026年10月20日發布公告，描述截至2026年8月確認的SafePay勒索軟件活動。發布機構表示，調查發現相關活動最遲持續至8月。
SafePay行動者自2024年8月起一直非常活躍，目標遍及北美洲、南美洲、歐洲及澳洲的企業和關鍵基礎設施。CISA表示，行動影響來自多個關鍵基礎設施行業的至少600名不同受害者。
相關行動者通常透過竊取或猜測密碼、利用保安系統漏洞，或採用網絡釣魚手法取得網絡存取權。其後可建立或接管帳戶、利用合法工具在網絡內橫向移動、找出具價值的檔案、停用防護措施、加密檔案，以及要求以加密貨幣付款。
SafePay利用網絡釣魚帳戶及自動化腳本進入網絡
CISA表示，SafePay行動者利用Mullvad VPN供應商的IP地址及網絡釣魚取得的帳戶資料存取受害者網絡，以利用邊緣裝置產品的已知CVE。
在暴露於互聯網的系統上，行動者利用自動化腳本，透過CVE-2023-27532、CVE-2024-40711及CVE-2024-40766取得初始存取權。
在若干個案中，行動者利用ShareFinder.ps1及SharpShares.exe找出網絡檔案共享及有價值資產。
SafePay利用合法工具收集數據並阻礙復原
CISA表示，SafePay利用FileZilla、7-Zip、RClone及WinRAR壓縮及收集數據。WinSCP及RClone協助將數據移至行動者控制的帳戶，而OneDrive則在部分個案中用於外洩數據。
行動者在部分受害者系統安裝AnyDesk或TeamViewer，以傳送勒索軟件及其他軟件。他們亦停止Volume Shadow Copy Service，並將載有備份數據的網絡連接儲存裝置重設為出廠設定，以阻礙復原。
SafePay結合ChaCha20加密及RSA公開密鑰加密系統，加密檔案會獲加上.SafePay副檔名。CISA表示，沒有解密密鑰便無法復原檔案，而行動者通常要求以加密貨幣支付公司部分收入，以換取解密軟件。
CISA表示，機構應定期修補及更新系統，尤其是防火牆及其他邊緣裝置。CISA亦要求實施零信任、限制行政工具及權限，並透過身份、憑證及存取管理政策，以及多重因素驗證，加強帳戶保安。
發布機構表示，調查最遲於2026年8月確認SafePay勒索軟件已知的策略、技術、程序及入侵指標。CISA表示，SafePay是2026年最活躍的勒索軟件組織之一。
防守方現在要做甚麼
- 定期修補及更新系統，尤其是防火牆及其他邊緣裝置。
- 實施零信任原則。
- 僅向有需要的用戶限制行政工具及權限。
- 透過實施身份、憑證及存取管理政策，以及多重因素驗證，加強帳戶保安。
常見問題
SafePay勒索軟件行動發生了甚麼事？
CISA及合作機構發布公告，描述截至2026年8月確認的SafePay活動。SafePay加密受害者檔案，並留下要求以加密貨幣付款的勒索字條。
哪些人士受到SafePay勒索軟件影響？
SafePay以北美洲、南美洲、歐洲及澳洲的企業和關鍵基礎設施為目標。CISA表示，至少600名不同受害者受到影響。
SafePay利用了哪些漏洞？
公告列出CVE-2020-3259、CVE-2023-20269、CVE-2023-27532、CVE-2024-40711及CVE-2024-40766。
機構如何防範SafePay？
CISA表示，機構應修補及更新系統，尤其是防火牆及其他邊緣裝置，實施零信任，限制行政工具及權限，並採用身份、憑證及存取管理政策及多重因素驗證。
SafePay加密的檔案會怎樣？
SafePay在加密檔案加上.SafePay，並使用ChaCha20及RSA。CISA表示，沒有解密密鑰便無法復原檔案。
來源
我們如何核實這篇報道
| 內容 | 來源 | 狀態 |
|---|---|---|
| CISA表示，SafePay行動者自2024年8月起一直非常活躍，並以四個地區的企業和關鍵基礎設施為目標。 | CISA | 已證實 |
| CISA表示，SafePay行動者通常透過竊取或猜測密碼、利用保安系統漏洞及採用網絡釣魚手法取得網絡存取權。 | CISA | 已證實 |
| CISA表示，SafePay行動者建立或接管帳戶、利用合法工具在網絡內移動、找出具價值檔案及停用防護措施。 | CISA | 已證實 |
| CISA表示，SafePay加密受害者檔案，並留下要求以加密貨幣付款的勒索字條。 | CISA | 已證實 |
| 發布機構表示，調查確認SafePay活動最遲持續至2026年8月。 | CISA | 已證實 |
| CISA表示，SafePay是2026年最活躍的勒索軟件組織之一，並影響至少600名不同受害者。 | CISA | 已證實 |
| CISA表示，SafePay在暴露於互聯網的系統上利用自動化腳本，攻擊CVE-2023-27532、CVE-2024-40711及CVE-2024-40766。 | CISA | 已證實 |
| CISA表示，SafePay利用FileZilla、7-Zip、RClone、WinRAR、WinSCP及OneDrive收集及外洩數據。 | CISA | 已證實 |
| CISA表示，SafePay利用AnyDesk及TeamViewer向受害者系統傳送勒索軟件及其他軟件。 | CISA | 已證實 |
| CISA表示，SafePay停止Volume Shadow Copy Service，並重設網絡連接儲存裝置，以阻礙復原。 | CISA | 已證實 |
| CISA表示，SafePay使用ChaCha20及RSA加密，並在加密檔案加上.SafePay。 | CISA | 已證實 |
| CISA表示，SafePay通常要求以加密貨幣支付公司部分收入，以換取解密軟件。 | CISA | 已證實 |
| The Record報道，自2024年8月起，SafePay入侵美國及歐洲至少600個組織。 | The Record | 引述 |
| The Record報道，聯邦調查局及德國和英國機構稱SafePay是2026年最活躍的勒索軟件組織之一。 | U.K., via The Record | 引述 |
| Infosecurity Magazine報道，根據Ransomware.live及RansomFeed，SafePay聲稱有248名受害者。 | Infosecurity Magazine | 引述 |
| Infosecurity Magazine報道，SafePay聲稱的受害者包括美國96名、德國46名及英國12名。 | Infosecurity Magazine | 引述 |
| Halcyon表示，SafePay於2024年9月至10月以獨立勒索軟件行動形式出現，並採用雙重勒索手法。 | Halcyon | 已證實 |
| CISA於2026年10月20日發布報告。 | CISA | 已證實 |
未能核實
- SafePay的600名受害者是否全部成功被加密，尚未確立
- 所列CVE是否在每個受影響組織中均被利用，尚未確立
