:quality(90):no_upscale()){kind=logo}
Las agencias de EE. UU., el Reino Unido y Alemania emiten un aviso conjunto sobre el ransomware SafePay
ESTADO: Aviso conjunto multinacional GRAVEDAD: 6/10 DESTINATARIOS: Responsables de seguridad del Gobierno, la Defensa y las infraestructuras críticas
6 de noviembre de 2026
·Blog
·Comunicaciones seguras
:quality(90):no_upscale())
A finales de octubre, organismos de EE. UU., el Reino Unido y Alemania emitieron un aviso conjunto sobre el ransomware SafePay, un grupo que ha afectado al menos a 600 víctimas en sectores de infraestructuras críticas de América del Norte, América del Sur, Europa y Australia. El aviso recoge las investigaciones del FBI, la CISA y el Servicio Secreto, en colaboración con las fuerzas del orden alemanas y británicas, y es la última de una serie de alertas multinacionales emitidas este año, una tendencia que refleja hasta qué punto estas amenazas no respetan las fronteras.
¿Qué pasó?
Las agencias de tres países han aunado sus investigaciones en un único informe sobre un grupo cuyas víctimas se distribuyen por cuatro regiones.
El 20 de octubre, la CISA, el FBI y el Servicio Secreto, junto con la Oficina Regional de Investigación Criminal de Renania-Palatinado (Landeskriminalamt Rheinland-Pfalz) de Alemania y la Agencia Nacional contra el Crimen (National Crime Agency) y la Unidad Regional contra el Crimen Organizado del Noroeste (North West Regional Organised Crime Unit) del Reino Unido, publicaron un aviso conjunto con la etiqueta #StopRansomware sobre SafePay.2 En él se proporcionan tácticas, técnicas, procedimientos, indicadores de compromiso y recomendaciones basadas en investigaciones llevadas a cabo tan recientemente como en agosto de 2026.1 La mayoría de los organismos que han elaborado el aviso son fuerzas del orden, lo que refleja la naturaleza delictiva de la amenaza.
SafePay lleva activo desde agosto de 2024 y ha afectado al menos a 600 víctimas en múltiples sectores de infraestructuras críticas de América del Norte, América del Sur, Europa y Australia.1 Las víctimas se reparten por cuatro regiones y los autores del aviso proceden de tres países. Un grupo que opera a nivel transfronterizo deja rastros en varias jurisdicciones, lo que hace que la información recopilada de forma conjunta resulte más útil que la perspectiva de una sola agencia.
Este aviso se suma a una serie de alertas multinacionales emitidas este año. En abril, el NCSC del Reino Unido y 15 socios internacionales de otros nueve países publicaron una serie de recomendaciones sobre redes encubiertas vinculadas a China.3 En septiembre, el FBI, el NCSC y el AIVD de los Países Bajos advirtieron por separado de que actores patrocinados por el Estado están utilizando aplicaciones de mensajería para consumidores como principal vía de ataque.4 CI Fortify, publicado en mayo, fue elaborado por organismos de EE. UU., Australia, el Reino Unido y Canadá.5
El propio aviso de SafePay enumera como vías de acceso inicial el uso de credenciales expuestas, ataques de fuerza bruta, phishing y la explotación de sistemas conectados a Internet, incluyendo cinco CVE que datan de 2020 a 2024. Una vez dentro, los atacantes desactivan el software de seguridad, en ocasiones cambian las contraseñas de los usuarios para impedir el acceso legítimo, detienen el Servicio de Copias de Sombra de Volumen y restablecen el almacenamiento conectado a la red que contiene las copias de seguridad antes de robar los datos y cifrarlos.1
Lo que descubrieron y qué significa
Conclusión | Qué significa | Consecuencias operativas | Pregunta abierta |
Varias agencias de EE. UU., el Reino Unido y Alemania han publicado un único aviso sobre SafePay, y la mayoría de las agencias que lo han redactado son organismos encargados de la aplicación de la ley. | Varios gobiernos se hacen eco de las mismas conclusiones sobre un grupo cuyas víctimas se extienden por cuatro regiones. | Las organizaciones que operan en más de uno de esos países disponen de un único conjunto de estrategias e indicadores, en lugar de tener que conciliar las directrices nacionales de cada país por separado. | ¿Se sumarán a la recomendación otros países con víctimas de SafePay o publicarán la suya propia? |
SafePay ha afectado al menos a 600 víctimas en sectores de infraestructuras críticas de América del Norte, América del Sur, Europa y Australia. | El alcance del grupo va más allá de los países cuyas agencias redactaron el aviso. | Las organizaciones de fuera de los países redactores se enfrentan a las mismas tácticas y deben considerar que esta recomendación les es aplicable. | ¿Con qué regularidad reciben y aplican las recomendaciones las organizaciones afectadas de las regiones que carecen de un organismo responsable de su elaboración? |
Este aviso se suma a otras advertencias multinacionales emitidas este año, entre las que se incluyen las recomendaciones del NCSC sobre redes encubiertas y las advertencias del FBI, el NCSC y el AIVD sobre las aplicaciones de mensajería para consumidores. | La coordinación transfronteriza en materia de amenazas cibernéticas se está convirtiendo en una forma habitual que tienen los gobiernos de alertar a las organizaciones a las que protegen. | Merece la pena hacer un seguimiento de los avisos conjuntos como una categoría diferenciada, ya que señalan amenazas que varios gobiernos consideran lo suficientemente importantes como para alertar sobre ellas de forma conjunta. | ¿La planificación de la respuesta en las organizaciones multinacionales va al mismo ritmo que las alertas que llegan para todos los países a la vez? |
Por qué es importante
La antigua Asunción | La realidad actual | Respuesta de BlackBerry |
Un aviso nacional es relevante principalmente para las organizaciones del país que lo han emitido. | El informe de SafePay señala que los autores proceden de tres países y que hay víctimas en cuatro regiones, por lo que organizaciones situadas muy lejos de los países de origen de los autores se enfrentan a las mismas tácticas. | BlackBerry®UEM aplica las mismas políticas de cumplimiento normativo de los dispositivos y de acceso a toda su plantilla multinacional, de modo que un único conjunto de controles acompaña a los empleados de la organización en todas las jurisdicciones. |
Una respuesta multinacional puede gestionarse a través del correo electrónico y el chat habituales de la organización, independientemente de dónde se encuentren sus empleados. | SafePay desactiva el software de seguridad y, en ocasiones, cambia las contraseñas, lo que impide el acceso a algunos usuarios legítimos; por lo tanto, es posible que una respuesta que abarque varios países y zonas horarias no cuente con un canal interno operativo. | BlackBerry® AtHoc® está diseñado para contactar con el personal a través de dispositivos móviles y teléfonos, al margen del correo electrónico y la red internos de la organización, de modo que se pueda contactar con los equipos de respuesta de varios países a la vez. |
Los avisos conjuntos son advertencias generales con pocos detalles operativos. | El aviso de SafePay enumera CVE, herramientas y comportamientos específicos extraídos de investigaciones recientes, con los que los equipos de seguridad pueden comprobar la eficacia de sus controles. | BlackBerry AtHoc puede distribuir la lista de comprobación de un aviso a los equipos de todas las regiones con acuse de recibo. Los informes de cumplimiento de BlackBerry UEM pueden indicar qué dispositivos cumplen los requisitos establecidos. |
Medidas recomendadas
INMEDIATO | Aplique las recomendaciones de este aviso en todos los países en los que opere y compruebe que las cinco vulnerabilidades (CVE) que en él se enumeran se hayan solucionado en los sistemas conectados a Internet de todas las regiones. |
INMEDIATO | Exigir la autenticación de dos factores (MFA) en la VPN y en las cuentas con privilegios en todas las regiones, e investigar la creación inesperada de cuentas, los cambios en los privilegios administrativos y los fallos repetidos de autenticación. |
A CORTO PLAZO | Guarda copias de seguridad sin conexión, cifradas e inmutables en una ubicación independiente y comprueba que se puedan restaurar, ya que SafePay restablece el almacenamiento en red donde se guardan las copias de seguridad. |
A CORTO PLAZO | Determina cómo se comunicarían entre sí los equipos de respuesta de cada país y cómo se pondrían en contacto con los responsables en caso de que las cuentas del directorio estuvieran bloqueadas y el correo electrónico interno no estuviera disponible, y prueba ese canal en diferentes zonas horarias. |
EN CURSO | Realiza un seguimiento de los avisos multinacionales conjuntos como una señal específica de mayor prioridad y asigna a una persona responsable de traducir cada uno de ellos en medidas concretas en todas las regiones. |
Puesto en BlackBerry
El aviso de SafePay refleja que los gobiernos reconocen que un grupo de ransomware que opera en cuatro regiones no puede entenderse ni combatirse desde el interior de un solo país. Lo mismo se aplica a las organizaciones a las que ataca. Una empresa multinacional recibe un aviso y tiene que actuar en consecuencia en todos los países a la vez, con equipos de seguridad, directivos y personal de respuesta local repartidos por diferentes zonas horarias. Si una intrusión bloquea cuentas y desactiva herramientas, esa coordinación debe realizarse a través de un canal ajeno a dichos sistemas y debe estar configurada antes de la intrusión, ya que no es posible establecerla una vez que las cuentas están bloqueadas.
Referencias:
1. #StopRansomware: Ransomware SafePay (CISA, FBI, Servicio Secreto de EE. UU., Landeskriminalamt Rheinland-Pfalz, Agencia Nacional contra el Crimen del Reino Unido y Unidad Regional contra el Crimen Organizado del Noroeste, #StopRansomware: Ransomware SafePay, aviso AA26-293A, 20 de octubre de 2026).
2. Respuesta al aviso de la CISA (AA26-293A): #StopRansomware: Ransomware SafePay (AttackIQ, 21 de octubre de 2026).
3. Las agencias internacionales de ciberseguridad comparten nuevas recomendaciones para defenderse de las redes encubiertas vinculadas a China (Centro Nacional de Ciberseguridad del Reino Unido, abril de 2026).
4. El Reino Unido y sus aliados desenmascaran un programa espía utilizado por agentes estatales iraníes para atacar a disidentes, activistas y periodistas (Comunicados conjuntos del FBI, el Centro Nacional de Ciberseguridad del Reino Unido y el AIVD de los Países Bajos. El título es «Ataques cibernéticos iraníes contra disidentes, activistas y periodistas», publicado el 15 de septiembre de 2026. Trata sobre el malware CHOSEN BRICK. Comunicado del NCSC y el PDF del aviso del IC3 del FBI. 15 de septiembre de 2026).
5. La CISA presenta una nueva iniciativa para reforzar las infraestructuras críticas de Estados Unidos (CISA y socios internacionales, directrices de CI Fortify, 5 de mayo de 2026).
:quality(90):no_upscale())