中II 网络战与关键基础设施2026年10月20日, 星期二
美欧警方确认SafePay勒索软件受害者达600家
10月20日，CISA、FBI和特勤局联合德国和英国警方发布编号AA26-293A的联合警报。自2024年8月以来，SafePay至少波及600家受害者。该团伙会在加密前先删除备份。
10月20日，美国网络安全和基础设施安全局（CISA）、FBI和特勤局就SafePay勒索软件发布联合警报，编号AA26-293A。来自2个欧洲国家的机构参与其中。德国方面是莱茵兰-普法尔茨州刑事警察局。英国方面是国家犯罪局和一个地区有组织犯罪部门。文件显示，该团伙自2024年8月以来在南北美洲、欧洲和澳大利亚至少波及600家不同受害者。
CISA将该团伙的手法归类为编号T1490的“阻止系统恢复”技术，并列出3个步骤。攻击者先停止Windows卷影复制服务。随后把存放备份的网络存储设备恢复出厂设置。在部分案例中，他们在赎金谈判前删除了全部备份。警报列出5个初始入侵漏洞。其中包括影响SonicWall防火墙的CVE-2024-40766，以及CVSS评分9.8的CVE-2024-40711。
据Cybersecurity Dive报道，安全公司Halcyon称该团伙2026年每月攻击15至30家机构。其攻击量在2025年底达到峰值。同一报道称，2025年7月Ingram Micro遭袭后，订单处理中断数日。逾4.2万人的个人数据被盗。警报建议为VPN账户启用多因素认证，并保留加密、不可篡改的离线备份。文件没有给出行业分布，只称600家受害者分布在多个关键基础设施行业。
Talay 研判
结论
SafePay警报表明，勒索软件的竞争重点正从加密转向阻止恢复。备份一旦被删，谈判筹码就转到攻击者手中。列出的5个漏洞均出自2020至2024年。这说明攻击依赖的不是零日漏洞，而是未打补丁的VPN和防火墙。德英警方共同署名，证实该团伙在大西洋两岸使用同一套基础设施。
可能影响
- 网络保险负面1至6个月
谈判前删除备份会拉长恢复时间，加大支付赎金的压力。保险公司可能在保单中收紧离线备份要求。
- 关键基础设施负面数周内
至少600家受害者分布在多个关键基础设施行业。这说明旧的VPN和防火墙漏洞仍是主要入口。
- 供应链负面1至6个月
Ingram Micro一案中订单处理中断数日。分销商层面的一次事件可能波及数以千计的下游客户。
可能情形（按概率排序）
- 1活动保持原有节奏55%
团伙继续每月攻击15至30家机构，新受害者陆续出现在泄露网站上。
观察指标: Halcyon等追踪方公布的11月SafePay受害者数量
- 2警报发布后活动减少30%
入侵指标清单的传播和补丁行动收窄了团伙的入侵途径。
观察指标: 受CVE-2024-40766和CVE-2024-40711影响的联网设备数量下降
- 3再现大型供应链事件15%
团伙攻击类似Ingram Micro的分销商，运营中断波及多个行业。
观察指标: SEC 8-K披露中出现归因于SafePay的新事件
概率是基于来源的校准判断，并非测量结果，会随新信息更新。不构成投资建议。
市场反应
受影响的指标
- 已确认受害者▲ 600+
- 2026年每月目标（Halcyon）▲ 15–30
- 列出的漏洞▲ 5