🛡️ Contexte

Cet avis a été publié le 20 octobre 2026 par la CISA (Cybersecurity and Infrastructure Security Agency) sous la référence AA26-293A. Il détaille les activités récentes du groupe ransomware SafePay, actif depuis août 2024.

🌍 Périmètre de ciblage

Le groupe SafePay cible des entreprises et infrastructures critiques dans plusieurs régions :

  • Amérique du Nord
  • Amérique du Sud
  • Europe
  • Australie

🔓 Vecteurs d’accès initial

Les acteurs SafePay utilisent plusieurs méthodes pour pénétrer les réseaux :

  • Vol ou devinette de mots de passe (credential theft / brute force)
  • Exploitation de vulnérabilités dans les systèmes de sécurité
  • Phishing

⚙️ Comportement post-compromission

Une fois l’accès obtenu, les acteurs :

  1. Créent de nouveaux comptes ou prennent le contrôle de comptes existants
  2. Utilisent des outils système légitimes (living-off-the-land) pour se déplacer latéralement
  3. Identifient les fichiers de valeur
  4. Désactivent les protections de sécurité pour éviter la détection
  5. Chiffrent les fichiers de la victime
  6. Déposent une note de rançon exigeant un paiement en cryptomonnaie

📋 Type d’article

Il s’agit d’un avis de sécurité officiel émis par la CISA, dont le but principal est d’alerter les organisations sur les tactiques, techniques et procédures (TTPs) du groupe SafePay afin de réduire le risque et l’impact de ses attaques.

🧠 TTPs et IOCs détectés

Acteurs de menace

  • SafePay (cybercriminal) —

TTP

  • T1566 — Phishing (Initial Access)
  • T1110 — Brute Force (Credential Access)
  • T1078 — Valid Accounts (Initial Access)
  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1136 — Create Account (Persistence)
  • T1098 — Account Manipulation (Persistence)
  • T1021 — Remote Services (Lateral Movement)
  • T1083 — File and Directory Discovery (Discovery)
  • T1562.001 — Impair Defenses: Disable or Modify Tools (Defense Evasion)
  • T1486 — Data Encrypted for Impact (Impact)
  • T1491 — Defacement (Impact)

Malware / Outils

  • SafePay (ransomware)

🟡 Indice de vérification factuelle : 45/100 (moyenne)

  • ✅ cisa.gov — source reconnue (liste interne) (20pts)
  • ✅ 923 chars — extrait court (5pts)
  • ⬜ aucun IOC extrait (0pts)
  • ⬜ pas d’IOC à vérifier (0pts)
  • ✅ 11 TTPs MITRE identifiées (15pts)
  • ⬜ date RSS ou approximée (0pts)
  • ✅ acteur(s) identifié(s) : SafePay (5pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-293a