FBI, CISA, ABD Gizli Servisi ile Almanya ve Birleşik Krallık’tan kolluk kurumları 20 Ekim 2026’da SafePay fidye yazılımı grubu için ortak bir uyarı (AA26-293A) yayımladı. Uyarıya göre grup Ağustos 2024’ten beri etkin ve Kuzey ve Güney Amerika, Avrupa ve Avustralya’da birden çok kritik altyapı sektöründen en az 600 kurumu etkiledi.
Ne oldu
Uyarı, SafePay’in ağa nasıl girdiğini, verileri nasıl şifreleyip dışarı çıkardığını ve iz göstergelerini (IOC) anlatıyor. Kurumlara göre saldırganlar ilk erişim için açığa çıkmış kimlik bilgilerini, kaba kuvvet parola saldırılarını, VPN erişimini ve oltalama ile ele geçirilmiş hesapları kullanıyor. Uyarı ayrıca uç cihazlardaki ve internete açık sistemlerdeki bilinen açıkların istismar edildiğini yazıyor ve beş CVE sıralıyor.
Uyarı bu CVE’leri ürün adıyla eşlemiyor. NVD ve CISA KEV kayıtlarına göre CVE-2020-3259 ve CVE-2023-20269 Cisco ASA ve Firepower Threat Defense yazılımında, CVE-2023-27532 ve CVE-2024-40711 Veeam Backup & Replication’da, CVE-2024-40766 ise SonicWall SonicOS’ta. Beşi de CISA’nın Bilinen İstismar Edilen Açıklar (KEV) kataloğunda; kataloğa 2023 ve 2024 yıllarında eklendiler.
Uyarıya göre grup, dosyaları ChaCha20 ve RSA’yı birleştiren karma bir şifrelemeyle kilitliyor ve dosyalara “.SafePay” uzantısı ekliyor; anahtar olmadan dosyalar geri alınamıyor. Veriler WinSCP, RClone ve OneDrive gibi araçlarla dışarı çıkarılıyor ve grubun sızıntı sitesinde yayımlanıyor. Saldırganlar Birim Gölge Kopyası hizmetini durduruyor ve yedekleri barındıran ağa bağlı depolama (NAS) cihazlarını fabrika ayarlarına döndürüyor. Uyarı, grup adına mağdurların telefonla arandığını da belirtiyor.
Kimleri etkiler
Uyarı belirli bir sektörü işaret etmiyor; mağdurların birden çok kritik altyapı sektöründen olduğunu söylüyor. Uyarıdaki açıklar, NVD ve CISA KEV kayıtlarına göre güvenlik duvarı ve VPN (Cisco ASA/FTD, SonicWall SonicOS) ile yedekleme (Veeam Backup & Replication) yazılımlarında; uyarı bu açıkların uç cihazlarda ve internete açık sistemlerde istismar edildiğini belirtiyor. Uyarıdaki IOC’ler Kasım 2024 ile Ağustos 2026 arasında gözlemlenmiş.
Üretici ne öneriyor
Bu bir üretici bülteni değil, kurumların ortak uyarısı. Öne çıkan öneriler: güvenlik duvarları başta olmak üzere uç cihazların düzenli yamalanması, KEV’deki açıklara öncelik verilmesi, tüm hesaplarda çok faktörlü doğrulama, yönetim araçlarının ve yetkilerin yalnız gerekli kullanıcılarla sınırlanması ve sıfır güven ilkesi. Yedekler için çevrimdışı kopya tutulması, yedeklerin şifreli ve değiştirilemez olması, geri yüklemenin düzenli test edilmesi ve bir kurtarma planı hazırlanması isteniyor. Uyarı ayrıca ağın bölümlenmesini, kullanılmayan bağlantı noktalarının kapatılmasını ve yönetici hesaplarının denetlenmesini öneriyor.
IOC tabloları, STIX dosyaları ve uyarının tamamı yan sütundaki bağlantıda.
