A CISA (Cybersecurity and Infrastructure Security Agency, agência de cibersegurança dos Estados Unidos), em conjunto com o FBI, o Serviço Secreto dos EUA (USSS) e agências de aplicação da lei da Alemanha e do Reino Unido, publicou em 21 de outubro de 2026 o alerta #StopRansomware: SafePay Ransomware (AA26-293A), detalhando as táticas do grupo de ransomware SafePay. Segundo o documento, o grupo já comprometeu mais de 600 organizações desde agosto de 2024, em múltiplos setores de infraestrutura crítica na América do Norte, América do Sul, Europa e Austrália.
De acordo com o alerta, o SafePay obtém acesso inicial principalmente por meio de credenciais expostas, ataques de força bruta contra senhas, exploração de acessos VPN — incluindo o uso de endereços IP associados ao provedor Mullvad — e perfis de contas comprometidas, além de explorar vulnerabilidades conhecidas (CVEs) em dispositivos de borda e sistemas expostos à internet por meio de scripts automatizados. O grupo opera como uma operação fechada, sem recrutar afiliados, e combina a dupla extorsão (furto de documentos antes de criptografar os arquivos, com ameaça de divulgação) à destruição deliberada de cópias de sombra (shadow copies) e à reinicialização de dispositivos de armazenamento em rede (NAS) que guardam backups — uma tática pensada especificamente para impedir a recuperação da empresa sem pagar o resgate.
Por que isso importa para uma PME brasileira: o alerta cita explicitamente a América do Sul entre as regiões já atingidas, e o perfil de entrada do SafePay — senhas fracas ou reaproveitadas, acesso remoto por VPN mal configurado e vulnerabilidades não corrigidas em equipamentos de borda (firewalls, roteadores, VPNs) — é exatamente o tipo de porta de entrada mais comum em PMEs, que costumam ter menos camadas de defesa e dependem de poucos administradores de TI. A tática de apagar cópias de sombra e resetar dispositivos NAS é particularmente grave para pequenas empresas que usam esse tipo de equipamento como único backup: se o backup está acessível pela mesma rede que foi comprometida, ele pode ser destruído junto com os dados originais.
O que fazer agora: restrinja o uso de ferramentas e contas administrativas para dificultar a movimentação lateral de um invasor dentro da rede, ative a autenticação multifator (MFA) em todos os acessos remotos e VPNs, e mantenha sistemas de borda (firewalls, VPNs, roteadores) atualizados, priorizando falhas listadas no catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV) da CISA. O ponto mais urgente para quem usa dispositivos NAS como backup: mantenha ao menos uma cópia offline ou isolada da rede principal (a regra 3-2-1), já que o SafePay tem como tática específica resetar esses equipamentos. Em caso de incidente, o alerta reforça que pagar o resgate não garante a recuperação dos arquivos e recomenda notificar as autoridades.
Fonte primária: alerta conjunto #StopRansomware: SafePay Ransomware (AA26-293A), CISA/FBI, 21/10/2026.
