SAFEPAY

🔍 Contexte Publié le 16 mars 2026 par le Google Threat Intelligence Group (GTIG), ce rapport analyse les tactiques, techniques et procédures (TTPs) observées lors des incidents ransomware traités par Mandiant Consulting en 2025. Il couvre des victimes situées en Asie-Pacifique, Europe, Amérique du Nord et du Sud, dans presque tous les secteurs d’activité. 📊 Paysage ransomware 2025 Record historique de posts sur les Data Leak Sites (DLS) en 2025, dépassant 2024 de près de 50% La rentabilité globale est en déclin : taux de paiement de rançon au plus bas historique en Q4 2025 (Coveware), demande moyenne réduite d’un tiers à 1,34 M$ en 2025 contre 2 M$ en 2024 (Sophos) Près de la moitié des victimes ont pu restaurer depuis des sauvegardes en 2024 (contre 28% en 2023 et 11% en 2022) LockBit, ALPHV, Basta et RansomHub ont été perturbés ou ont disparu ; Qilin et Akira ont comblé le vide REDBIKE (Akira) est la famille ransomware la plus déployée : ~30% des incidents Montée en puissance des opérations de data theft extortion seule (sans chiffrement) Ciblage croissant des petites organisations (moins de 200 employés) Adoption de technologies Web3 (ICP blockchain, Polygon smart contracts) pour la résilience des infrastructures Intégration de l’IA dans les opérations (négociations, analyse des victimes) Doublement des familles ransomware cross-platform (Windows + Linux) 🎯 Vecteurs d’accès initial Exploitation de vulnérabilités : 1/3 des incidents (VPNs et firewalls principalement) Fortinet : CVE-2024-21762, CVE-2024-55591, CVE-2019-6693 SonicWall : CVE-2024-40766 Palo Alto : CVE-2024-3400 Citrix : CVE-2023-4966 Microsoft SharePoint : CVE-2025-53770, CVE-2025-53771 (zero-day par UNC6357) SAP NetWeaver : CVE-2025-31324 CrushFTP : CVE-2025-31161 CVE-2025-8088 exploité en zero-day par UNC2165 CVE-2025-61882 exploité contre Oracle EBS (CL0P) Credentials volés : 21% des incidents identifiés (VPN, RDP) Malvertising / SEO poisoning : UNC6016 (→ NITROGEN, RHYSIDA), UNC2465 (→ SMOKEDHAM) Bruteforce : attaques prolongées sur VPNs (ex. Daixin sur près d’un an) Accès via subsidiaires ou tiers (réseaux intermédiaires) Ingénierie sociale : UNC5833 via Microsoft Teams + Quick Assist 🔧 TTPs post-compromission Établissement de foothold : ...

Selon l’article, dans le contexte d’une intensification des opérations en 2024-2025, un nouveau groupe de ransomware nommé SafePay s’impose comme une menace mondiale majeure. 🔒 SafePay fonctionne à l’opposé des modèles RaaS dominants : le groupe est centralisé et fermé, gardant un contrôle strict sur l’infrastructure, les négociations et les profits. Cette approche OPSEC vise à réduire les risques de fuites de code et d’infiltration par les forces de l’ordre qui ont affecté des groupes comme LockBit et ALPHV. ...

Selon SecurityWeek (article d’Ionut Arghire, mis à jour le 31 octobre 2025), Conduent a commencé à notifier plus de 10 millions de personnes que leurs informations personnelles ont été volées lors d’un incident découvert en janvier 2025, après des perturbations ayant touché des agences gouvernementales de plusieurs États américains. 📅 Chronologie et périmètre de l’incident Accès initial au réseau : 21 octobre 2024. Perturbations confirmées publiquement : fin janvier 2025 (agences gouvernementales dans plusieurs États). Notification à la SEC : avril 2025 (vol de données confirmé). Éviction des attaquants : 13 janvier 2025 (après identification de l’attaque). Démarrage des notifications aux personnes concernées et aux procureurs généraux d’États : fin octobre 2025. 🧾 Données compromises et impact ...

Contexte — L’extrait cite le Threat Debrief de Bitdefender et dresse un état des lieux 2025 où SafePay, auparavant discret, devient un acteur marquant du paysage ransomware. • Chiffres clés: plus de 270 victimes revendiquées depuis le début de l’année. En juin, SafePay arrive en tête du classement de Bitdefender avec 73 organisations revendiquées en un mois. En juillet, le groupe annonce 42 nouvelles victimes, son deuxième meilleur total mensuel. ...

Dans un récent incident de réponse, l’équipe de Digital Forensics and Incident Response (DFIR) a découvert que le ransomware SafePay avait été déployé sur les machines des victimes. La première activité confirmée de ce ransomware remonte à septembre 2024, et depuis, le groupe responsable a intensifié ses activités, ajoutant de plus en plus de victimes à son site de fuite de données (DLS). Les cibles de ce groupe incluent à la fois le secteur public et privé à travers le monde, avec des victimes notables aux États-Unis et au Royaume-Uni. Dans le cas étudié par Proven Data, les fichiers chiffrés portaient l’extension .safepay, et la note de rançon était nommée readme_safepay.txt. ...

L’article de BleepingComputer rapporte une attaque par ransomware contre Ingram Micro, un géant de la distribution technologique B2B. Depuis jeudi, les systèmes internes de l’entreprise sont en panne. L’attaque a été identifiée comme provenant de l’opération SafePay, un acteur actif en 2025. Les employés ont découvert des notes de rançon sur leurs appareils, bien que l’on ne sache pas si les données ont été effectivement chiffrées. Ingram Micro, qui fournit des services variés, dont des solutions matérielles et logicielles, n’a pas initialement divulgué la cause des problèmes, mais a depuis confirmé l’attaque. ...

Cyble, une entreprise spécialisée en cybersécurité, a publié de nouvelles informations concernant les groupes de ransomware les plus actifs en mai 2025. Dans ce rapport, Cyble met en avant les groupes SafePay et DevMan qui dominent actuellement la scène des ransomwares. Ces groupes sont identifiés comme étant particulièrement actifs et représentent une menace significative pour les entreprises et les particuliers. Le rapport de Cyble fournit des détails sur les méthodes utilisées par ces groupes, soulignant l’évolution constante des techniques d’attaque et l’importance de rester vigilant face à ces menaces. Les entreprises sont encouragées à renforcer leurs mesures de sécurité pour se protéger contre ces attaques. ...

DCSO a rapporté un incident de sécurité impliquant un de ses clients, victime d’une campagne de ransomware orchestrée par le groupe SafePay. SafePay utilise une stratégie de double extorsion, combinant le vol de données et leur chiffrement pour faire pression sur les victimes. Ce groupe n’hésite pas à contacter directement les victimes, y compris par appels téléphoniques, pour accroître la pression et forcer le paiement. Bien que le ransomware SafePay présente des similitudes avec d’autres souches de ransomware, DCSO estime que cela résulte d’une inspiration plutôt que d’une origine commune. SafePay cible principalement des entreprises situées en Allemagne et aux États-Unis. ...