СреднийII Кибервойна и критическая инфраструктура20 октября 2026 г., вторник
Полиция США и Европы задокументировала 600 жертв вымогателя SafePay
20 октября CISA, ФБР и Секретная служба вместе с полицией Германии и Великобритании выпустили совместное предупреждение AA26-293A. С августа 2024 года SafePay поразил не менее 600 жертв и удаляет резервные копии до шифрования.
20 октября Агентство по кибербезопасности и защите инфраструктуры США (CISA), ФБР и Секретная служба выпустили совместное предупреждение AA26-293A о вымогателе SafePay. К документу присоединились ведомства 2 европейских стран: земельное управление уголовной полиции Рейнланд-Пфальца из Германии, а также Национальное агентство по борьбе с преступностью и региональное подразделение по организованной преступности из Великобритании. По данным документа, с августа 2024 года группа поразила не менее 600 отдельных жертв в Северной и Южной Америке, Европе и Австралии.
CISA относит метод группы к технике T1490 — препятствованию восстановлению системы — и описывает 3 шага. Операторы останавливали службу теневого копирования Windows, сбрасывали к заводским настройкам сетевые хранилища с резервными копиями и в ряде случаев удаляли все копии до начала торга о выкупе. В качестве путей первичного доступа предупреждение перечисляет 5 уязвимостей. Среди них CVE-2024-40766, затрагивающая межсетевые экраны SonicWall, и CVE-2024-40711 с оценкой CVSS 9,8.
По данным Cybersecurity Dive, компания по безопасности Halcyon сообщает, что в 2026 году группа атакует 15–30 организаций в месяц, а пик активности пришёлся на конец 2025 года. Согласно тому же материалу, при атаке на Ingram Micro в июле 2025 года обработка заказов была нарушена на несколько дней, а персональные данные более 42 тыс. человек были похищены. Предупреждение рекомендует многофакторную аутентификацию для VPN-учёток и зашифрованные, неизменяемые офлайн-копии. Разбивки по отраслям документ не даёт, ограничиваясь тем, что 600 жертв распределены по нескольким секторам критической инфраструктуры.
Оценка Talay
Вывод
Предупреждение о SafePay фиксирует, что конкуренция среди вымогателей смещается от шифрования к блокированию восстановления: после удаления копий переговорная сила переходит к атакующему. То, что все 5 перечисленных уязвимостей относятся к 2020–2024 годам, показывает, что атаки опираются не на уязвимости нулевого дня, а на непропатченные VPN и межсетевые экраны. Совместная подпись полиции Германии и Великобритании подтверждает, что группа работает по обе стороны Атлантики на одной инфраструктуре.
Возможные последствия
- КиберстрахованиеНегативно1–6 месяцев
Удаление копий до переговоров увеличивает время восстановления и давление в пользу выплаты выкупа; страховщики могут ужесточить требование офлайн-копий в полисах.
- Критическая инфраструктураНегативноНедели
Распределение не менее 600 жертв по нескольким секторам критической инфраструктуры показывает, что старые уязвимости VPN и межсетевых экранов остаются главным входом.
- Цепочка поставокНегативно1–6 месяцев
В случае Ingram Micro обработка заказов была нарушена на несколько дней; инцидент на уровне дистрибьютора может затронуть тысячи клиентов ниже по цепочке.
Вероятные сценарии
- 1Активность сохраняется в прежнем темпе55 %
Группа продолжает атаковать 15–30 организаций в месяц, новые жертвы появляются на сайте утечек.
Что отслеживать: Число жертв SafePay за ноябрь у Halcyon и аналогичных трекеров
- 2После предупреждения активность снижается30 %
Распространение списка индикаторов и кампании по установке патчей сужают пути входа группы.
Что отслеживать: Сокращение числа доступных из интернета устройств с CVE-2024-40766 и CVE-2024-40711
- 3Новый крупный случай в цепочке поставок15 %
Группа поражает дистрибьютора уровня Ingram Micro, и операционный сбой распространяется на несколько отраслей.
Что отслеживать: Новый инцидент, приписанный SafePay, в отчётах 8-K для SEC
Вероятности — это откалиброванное суждение на основе источников, а не измерение; они пересматриваются с появлением новых данных. Не является инвестиционной рекомендацией.
Реакция рынка
Затронутые индикаторы
- Подтверждённые жертвы▲ 600+
- Цели в месяц в 2026 (Halcyon)▲ 15–30
- Перечислено уязвимостей▲ 5