SafePay : le FBI et la CISA alertent sur 600+ victimes mondiales

Ce qui s'est passé

Le 20 octobre 2026, le Federal Bureau of Investigation (FBI), la Cybersecurity and Infrastructure Security Agency (CISA), le United States Secret Service (USSS), le Landeskriminalamt Rheinland-Pfalz allemand et le National Crime Agency (NCA) britannique, accompagné de sa North West Regional Organised Crime Unit, ont publié conjointement l'advisory AA26-293A intitulé « #StopRansomware : SafePay Ransomware ». Il s'agit de la publication coordonnée la plus vaste impliquant ces cinq agences de l'année 2026 sur un seul acteur ransomware.

SafePay est un groupe de ransomware actif depuis au moins août 2024. Selon les données agrégées par le FBI sur deux ans d'activité, le groupe a officiellement revendiqué ou compromis au minimum 600 organisations distinctes à travers le monde. En 2026, SafePay figure parmi les cinq groupes ransomware les plus actifs à l'échelle mondiale, aux côtés de RansomHub, Cl0p, INC et LockBit 4.0. La publication de cet advisory confirme l'élévation du niveau de menace que représente ce groupe, jusque-là moins médiatisé que ses concurrents.

Le vecteur d'accès initial privilégié par SafePay est l'exploitation de failles dans les concentrateurs VPN et les passerelles d'accès distant. L'advisory liste cinq CVE spécifiquement exploitées par le groupe : CVE-2020-3259 (Cisco ASA), CVE-2023-20269 (Cisco ASA/FTD), CVE-2023-27532 (Veeam Backup & Replication), CVE-2024-40711 (Veeam Backup & Replication) et CVE-2024-40766 (SonicWall SonicOS). La combinaison de failles Veeam et SonicWall est particulièrement préoccupante car elle permet simultanément l'accès initial et la destruction des sauvegardes.

Une fois à l'intérieur du réseau, SafePay adopte une méthodologie bien rodée en plusieurs phases. La première phase consiste en une reconnaissance approfondie de l'Active Directory et des systèmes de sauvegarde. Le groupe identifie systématiquement les agents de sauvegarde Veeam, Acronis ou Veritas avant toute action offensive. Il s'assure de les désactiver ou de chiffrer les données sauvegardées avant de lancer l'opération de chiffrement principal, une technique destinée à maximiser la pression sur les victimes en leur supprimant toute capacité de récupération autonome.

La phase de mouvement latéral repose sur l'abus de comptes à privilèges élevés récupérés via des outils comme Mimikatz ou via l'exploitation de vulnérabilités d'élévation de privilèges locales. Les acteurs de SafePay ont recours à des outils légitimes de gestion à distance — notamment AnyDesk, NetSupport Manager et le protocole RDP natif — pour maintenir leur persistance et éviter de déclencher les alertes des solutions EDR/XDR. Cette approche « living off the land » rend la détection particulièrement difficile pour les équipes SOC.

L'exfiltration de données précède systématiquement le chiffrement. SafePay opère un modèle de double extorsion classique : les données volées sont utilisées comme levier supplémentaire sur les victimes qui refuseraient de payer. Le groupe dispose d'un site de fuite sur le réseau Tor où sont publiées les données des organisations récalcitrantes. D'après les analyses des chercheurs de Recorded Future et de Secureworks, le montant moyen des rançons demandées par SafePay s'établit entre 500 000 et 3 millions de dollars, avec une médiane autour de 800 000 dollars.

La dimension internationale de cet advisory mérite d'être soulignée. La participation du Landeskriminalamt Rheinland-Pfalz confirme que des victimes allemandes significatives font partie du bilan. Du côté britannique, l'implication du NCA et de sa NWROCU suggère que des organisations du Royaume-Uni ont été affectées et que des investigations judiciaires sont en cours. Ce niveau de coopération transatlantique rappelle les opérations coordonnées ayant conduit aux démantèlements de LockBit en 2024 et ALPHV/BlackCat fin 2023.

À ce stade, l'advisory ne mentionne pas d'arrestation ni d'identification publique des membres du groupe. L'objectif principal de la publication est défensif : fournir aux équipes de sécurité les indicateurs de compromission (IOCs), les TTPs documentées selon le framework MITRE ATT&CK, et les mesures d'atténuation prioritaires pour réduire la surface d'attaque avant que d'autres organisations ne soient touchées. Les IOCs incluent des hachages de binaires, des domaines C2 et des adresses IP utilisées lors des campagnes récentes.

Pourquoi c'est important

La publication d'un advisory #StopRansomware par cinq agences gouvernementales de trois pays différents est un signal fort. Ces alertes conjointes sont réservées aux menaces que les gouvernements considèrent comme suffisamment graves pour justifier une mobilisation internationale. En 2026, seuls quatre groupes ont bénéficié de ce traitement : LockBit 4.0, RansomHub, Cl0p et désormais SafePay. Cela place ce dernier dans une catégorie à part en termes de priorité opérationnelle pour les forces de l'ordre mondiales.

L'exploitation combinée de failles Veeam est particulièrement alarmante pour les entreprises françaises. Selon le dernier rapport de l'ANSSI sur l'état de la menace ransomware, les solutions de sauvegarde constituent la cible numéro un des groupes ransomware sophistiqués en France. La faille CVE-2024-40711, corrigée par Veeam en septembre 2024, reste présente dans une proportion significative des infrastructures qui n'ont pas appliqué les mises à jour. Les organisations utilisant Veeam Backup & Replication dans des versions antérieures à 12.1.2 sont exposées.

Pour les RSSI et équipes de sécurité, la leçon principale de cet advisory est structurelle : la protection des sauvegardes doit être traitée comme un prérequis non négociable à toute stratégie de résilience cyber. Une sauvegarde accessible depuis le réseau de production, même protégée par un mot de passe fort, n'offre pas de garantie suffisante face à un groupe qui dispose d'un accès administrateur au domaine. La règle 3-2-1-1-0 (trois copies, deux médias différents, une hors site, une hors ligne, zéro erreur de restauration vérifiée) reste la référence absolue.

Sur le plan de la conformité NIS2, les 600 victimes recensées incluent nécessairement des entités couvertes par la directive européenne, ce qui devrait déclencher des obligations de notification aux autorités compétentes. Les organisations françaises relevant du périmètre NIS2 et ayant subi une compromission SafePay doivent le signaler à l'ANSSI dans les délais réglementaires. L'absence de notification expose les dirigeants à des sanctions administratives pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel.

Ce qu'il faut retenir

• Appliquer immédiatement les correctifs pour CVE-2020-3259, CVE-2023-20269, CVE-2023-27532, CVE-2024-40711 et CVE-2024-40766 — en particulier sur les équipements Veeam et SonicWall exposés.
• Isoler les systèmes de sauvegarde du réseau de production et vérifier qu'aucun agent de sauvegarde n'est accessible via des comptes de domaine standard.
• Activer l'authentification multifacteur sur tous les accès VPN et portails d'administration distants sans exception.