Le 20 octobre 2026, le FBI, la CISA, le Secret Service américain et des services de police allemand et britanniques ont publié un avis #StopRansomware consacré au groupe SafePay, crédité d’au moins 600 victimes depuis août 2024. Cette analyse s’adresse aux auditeurs, RSSI et responsables sécurité : mode opératoire, correspondance avec MITRE ATT&CK, détection, questions d’audit ISO 27001 et pistes de sensibilisation. Elle repose sur l’avis et sur la presse spécialisée : la manière dont les victimes ont détecté les intrusions et leur répartition par pays ne sont pas documentées.
Pour une lecture orientée dirigeant, voir notre décryptage « Rançongiciel SafePay : 600 victimes, et toujours les mêmes portes d’entrée ».
Contexte
- Source : avis conjoint AA26-293A du 20 octobre 2026, fondé sur des enquêtes du FBI, du Secret Service et du Landeskriminalamt Rheinland-Pfalz menées jusqu’en août 2026 ; activité observée de novembre 2024 à août 2026 (CISA, 20 octobre 2026 ; version PDF sur IC3). Synthèses : BleepingComputer, 21 octobre 2026 ; LeMagIT, 21 octobre 2026.
- Acteur : SafePay, actif depuis août 2024, double extorsion (exfiltration puis chiffrement). BleepingComputer le décrit comme un groupe fermé sans affiliés ; LeMagIT rapporte des liens étroits avec les marques INC Ransom et Lynx, certains acteurs revendiquant sous plusieurs marques. Cette divergence n’est pas tranchée à ce stade.
- Victimes : au moins 600 organisations, dont des secteurs d’importance vitale, en Amérique du Nord et du Sud, en Europe et en Australie. LeMagIT relève 594 victimes revendiquées sur le site du groupe, avec des délais de revendication allant jusqu’à deux mois. Aucune victime n’est nommée dans l’avis.
- Rançon : demandée en cryptomonnaie, calculée en proportion du chiffre d’affaires selon l’avis.
Mode opératoire : ce qui est documenté et ce qui ne l’est pas
| Étape | Ce qui est rapporté | Correspondance MITRE ATT&CK (notre lecture) |
|---|---|---|
| Accès initial (comptes) | Identifiants exposés, force brute sur les mots de passe, accès VPN avec des comptes obtenus par hameçonnage, connexions depuis un fournisseur de VPN commercial | T1133 External Remote Services ; T1110 Brute Force ; T1078 Valid Accounts |
| Accès initial (failles) | Exploitation automatisée de cinq CVE d’équipements exposés : CVE-2020-3259, CVE-2023-20269, CVE-2023-27532, CVE-2024-40711, CVE-2024-40766 | T1190 Exploit Public-Facing Application |
| Persistance | Droits d’administration ajoutés à des comptes existants ou nouveaux comptes ; outil de prise en main à distance installé | T1098 Account Manipulation ; T1136 Create Account ; T1219 Remote Access Tools |
| Élévation de privilèges | Contournement du contrôle de compte utilisateur, usurpation de jetons, extraction d’identifiants avec un outil public connu | T1548.002 Bypass User Account Control ; T1134.001 Token Impersonation/Theft ; T1003 OS Credential Dumping |
| Neutralisation des défenses | Désactivation des outils de sécurité, changement des mots de passe d’utilisateurs légitimes, code empaqueté, suppression du binaire après chiffrement | T1685 (numérotation ATT&CK v20 utilisée par l’avis) ; T1531 Account Access Removal ; T1027.002 Software Packing ; T1070.004 File Deletion |
| Découverte et mouvement latéral | Scripts PowerShell d’inventaire des partages, PsExec, WinRM, bureau à distance, outils de supervision à distance | T1059.001 ; T1059.003 ; T1135 Network Share Discovery ; T1569.002 ; T1021.001 ; T1021.002 ; T1021.006 |
| Collecte et exfiltration | Archivage avec des outils courants, transfert par outils de synchronisation ou de transfert de fichiers, parfois vers OneDrive | T1560.001 Archive via Utility ; T1048 Exfiltration Over Alternative Protocol ; T1567 Exfiltration Over Web Service |
| Sabotage de la restauration | Arrêt du service de clichés instantanés, remise aux réglages d’usine des NAS de sauvegarde | T1490 Inhibit System Recovery |
| Impact | Chiffrement hybride ChaCha20 et RSA, complet ou partiel selon le type et la taille des fichiers ; note de rançon, portail de discussion, appels téléphoniques, publication des données | T1486 Data Encrypted for Impact |
| Détection par les victimes | Non documentée | Non déterminable |
Faits techniques connus sur les failles exploitées
L’avis cite les cinq CVE sans nommer les produits. D’après leurs identifiants, il s’agit de deux failles des pare-feu et VPN Cisco ASA et FTD (CVE-2020-3259, fuite d’informations ; CVE-2023-20269, contournement d’authentification), de deux failles de Veeam Backup & Replication (CVE-2023-27532, fonction critique sans authentification ; CVE-2024-40711, désérialisation non sûre) et d’une faille de contrôle d’accès de SonicWall SonicOS (CVE-2024-40766). Toutes disposent de correctifs depuis 2024 au plus tard. La présence d’un logiciel de sauvegarde parmi les cibles d’entrée est cohérente avec la stratégie de sabotage de la restauration.
Ce qu’on ne sait pas
- La répartition des victimes par pays et par secteur, en dehors de la mention de secteurs d’importance vitale.
- La part de chaque vecteur d’entrée (mots de passe, hameçonnage, failles).
- Le délai moyen entre l’intrusion et le chiffrement.
Détection : ce qui reste observable
L’avis fournit des indicateurs de compromission (adresses, noms de fichiers, empreintes, noms d’hôtes), que nous ne reprenons pas ici : ils sont à exploiter depuis la source officielle, avec la prudence que recommande l’avis lui-même. Côté comportement, plusieurs signaux sont accessibles même à une petite équipe :
- échecs de connexion répétés sur le VPN, et connexions réussies depuis des services d’anonymisation ;
- création d’un compte administrateur ou ajout de droits en dehors d’une demande tracée ;
- apparition d’un outil de prise en main à distance non référencé ;
- désactivation de l’antivirus ou de l’EDR sur un poste ou un serveur ;
- arrêt du service de clichés instantanés, commandes d’administration inhabituelles sur le NAS de sauvegarde ;
- gros volumes sortants vers un service de stockage en ligne.
Pourquoi ces intrusions passent inaperçues : de vrais comptes, par le VPN normal, avec des outils légitimes, et une neutralisation des défenses avant les étapes les plus bruyantes.
Questions d’audit ISO 27001:2022
- A.8.8 et A.8.20 (gestion des vulnérabilités techniques, sécurité des réseaux) : « Montrez-moi la liste de vos équipements exposés à Internet (VPN, pare-feu, serveur de sauvegarde) avec leur version, et le délai réel d’application des correctifs pour les failles connues comme exploitées. Pourquoi un équipement serait-il encore vulnérable à une faille de 2023 ? »
- A.5.17 et A.8.5 (informations d’authentification, authentification sécurisée) : « L’accès VPN et les accès d’administration exigent-ils une double authentification pour tous les comptes, y compris prestataires et comptes de service ? Que se passe-t-il après dix échecs de connexion, et qui en est averti ? »
- A.8.13 et A.5.30 (sauvegarde des informations, préparation des TIC à la continuité d’activité) : « Avez-vous au moins une copie de sauvegarde déconnectée ou non modifiable ? Les comptes d’administration du NAS et du logiciel de sauvegarde sont-ils distincts de ceux du domaine ? Montrez-moi le dernier test de restauration complète et son résultat. »
- A.8.2, A.8.19 et A.8.16 (droits d’accès privilégiés, installation de logiciels sur des systèmes en exploitation, activités de surveillance) : « Comment êtes-vous alertés de la création d’un compte administrateur, de l’installation d’un outil de prise en main à distance non autorisé ou de la désactivation de l’antivirus ? Montrez-moi la dernière alerte de ce type et son traitement. »
Pistes de sensibilisation
- Pour les équipes IT et les infogérants : exercice « Il est 3 h, le NAS vient d’être remis à zéro ». Dérouler sur table la chronologie SafePay et vérifier, étape par étape, ce qui aurait déclenché une alerte et qui l’aurait reçue. Support : la fiche réflexe « Rançongiciel : que faire si votre organisation est victime d’une attaque ? » de Cybermalveillance.gouv.fr.
- Pour les dirigeants : « La sauvegarde que l’attaquant ne peut pas toucher ». Dix minutes pour poser trois questions au prestataire : où est la copie hors ligne, qui peut l’effacer, quand a-t-elle été restaurée. Support : « Pourquoi et comment bien gérer ses sauvegardes ? » de Cybermalveillance.gouv.fr.
À lire aussi : notre décryptage pour les dirigeants, « Rançongiciel SafePay : 600 victimes, et toujours les mêmes portes d’entrée », et le bulletin de veille du 22 octobre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.