Rançongiciel SafePay : les 5 portes d’entrée que le FBI et la CISA demandent de fermer
Le 20 octobre, le FBI, la CISA (l’agence américaine de cybersécurité), le Secret Service et des services de police allemands et britanniques ont publié une alerte commune sur le rançongiciel SafePay. Actif depuis août 2024, le groupe a touché au moins 600 victimes en Amérique du Nord, en Amérique du Sud, en Europe et en Australie, et figure parmi les groupes les plus actifs de 2026.
La bonne nouvelle, si on peut dire : SafePay n’utilise rien de mystérieux. Il entre par des mots de passe volés ou devinés, des VPN mal protégés et des failles connues depuis des années. Une fois à l’intérieur, il se sert d’outils légitimes que vous avez peut-être déjà. Voici les portes qu’il vise, comment se déroule l’attaque et ce qui l’arrête à chaque étape.
Votre score face au rançongiciel SafePay
Comptez un point par « oui ». À 5 sur 5, vous avez fermé les portes d’entrée décrites dans l’avis. Chaque « non » est une priorité.
Les cinq failles nommées dans l’avis
Les autorités ont observé SafePay exploiter ces cinq failles. Elles datent de 2020 à 2024 : les correctifs existent depuis longtemps. Si vous avez un de ces produits, vérifiez aujourd’hui qu’il est à jour.
| Faille nommée dans l’avis | Produit | Ce que vous devez savoir |
|---|---|---|
| CVE-2020-3259 | Pare-feu Cisco ASA / FTD (services Web) | Fuite d’informations sensibles. Correctif disponible depuis 2020. |
| CVE-2023-20269 | Cisco ASA / FTD (VPN d’accès à distance) | Contournement de l’authentification. Utilisée avec des profils de comptes hameçonnés. |
| CVE-2023-27532 | Veeam Backup & Replication | Fonction critique sans authentification : accès direct au serveur de sauvegarde. |
| CVE-2024-40711 | Veeam Backup & Replication | Désérialisation de données non fiables : exécution de code sur le serveur de sauvegarde. |
| CVE-2024-40766 | Pare-feu SonicWall (SonicOS) | Contrôle d’accès inadéquat. Exploitée par des scripts automatisés. |
Remarquez les deux failles de Veeam : en visant le serveur de sauvegarde, les pirates du rançongiciel SafePay s’attaquent directement à ce qui vous permettrait de repartir sans payer.
Comment se déroule une attaque du rançongiciel SafePay, et ce qui l’arrête
🚩 Signes à surveiller
- Connexions VPN depuis des adresses de services VPN commerciaux (l’avis cite Mullvad).
- Échecs de connexion répétés sur un même compte.
✅ Ce qui bloque l’étape
- Double authentification partout où c’est possible.
- Verrouillage après plusieurs échecs, correctifs des appareils exposés.
🚩 Signes à surveiller
- Un nouveau compte d’administration que personne ne reconnaît.
- Un antivirus ou un outil de sécurité désactivé, des mots de passe d’employés changés.
✅ Ce qui bloque l’étape
- Revue régulière des comptes, surtout les administrateurs.
- Alerte immédiate quand une protection est désactivée.
🚩 Signes à surveiller
- Bureau à distance (RDP) entre postes, PsExec ou WinRM utilisés hors des habitudes.
- Apparition d’AnyDesk ou de TeamViewer sur un serveur.
✅ Ce qui bloque l’étape
- Accès d’administration limités dans le temps et réservés à quelques personnes.
- Liste des outils de prise en main autorisés.
🚩 Signes à surveiller
- Gros fichiers compressés (WinRAR, 7-Zip) qui apparaissent puis disparaissent.
- Envois massifs vers l’extérieur, y compris vers un OneDrive qui n’est pas le vôtre.
✅ Ce qui bloque l’étape
- Alertes sur les transferts sortants inhabituels.
- Blocage des comptes OneDrive et Microsoft 365 externes sur vos serveurs.
🚩 Signes à surveiller
- Service des clichés instantanés Windows arrêté.
- Appareil de stockage réseau (NAS) remis aux paramètres d’usine.
✅ Ce qui bloque l’étape
- Au moins une copie hors ligne ou immuable, que l’attaquant ne peut ni modifier ni effacer.
- Restauration testée régulièrement.
🚩 Signes à surveiller
- Fichiers renommés en .SafePay, note de rançon sur le bureau.
- Appels téléphoniques de la part du groupe, menace de publier les données.
✅ Ce qui bloque l’étape
- Plan d’intervention écrit : qui appeler, dans quel ordre.
- Ne négociez pas seul : fournisseur TI, assureur, police.
📋 Un cas réel documenté par Sygnia
En 2025, la firme Sygnia a enquêté sur une attaque du rançongiciel SafePay. La porte d’entrée : le VPN d’un pare-feu FortiGate, par une faille et un compte d’administration « local » mal configuré, avec un mot de passe faible, sans double authentification, et autorisé à se connecter au VPN. En quelques heures, les pirates étaient administrateurs du domaine. Pendant sept jours, ils ont sorti des données en passant par un OneDrive à eux, un trafic qui ressemblait à de la synchronisation normale de Microsoft 365. Plus de 60 serveurs ont ensuite été chiffrés, surtout ceux de sauvegarde, de virtualisation, de fichiers et d’identité.
📞 Si quelqu’un vous appelle « de la part de SafePay »
L’avis précise qu’un représentant du groupe téléphone aux victimes pour les pousser à payer. Ne promettez rien au téléphone, notez l’heure et le numéro, et appelez votre fournisseur TI et votre assureur. Signalez aussi l’incident à la police et au Centre canadien pour la cybersécurité. Selon l’avis, les fichiers chiffrés par SafePay ne peuvent pas être récupérés sans la clé : seule une sauvegarde intacte vous laisse le choix.
Ce scénario ressemble à ce qu’on a décrit pour la faille GlobalProtect et la faille SonicWall SMA1000 : l’appareil qui protège l’entrée du réseau devient la porte. Et comme dans le cas du rançongiciel chez IDCF Cloud, ce sont les sauvegardes hors d’atteinte qui font la différence. Pour les outils de prise en main à distance détournés, notre arbre de décision « si… alors… » reste utile.
Chez NeoTech, notre soutien aux réseaux d’entreprise couvre la mise à jour des pare-feu et des VPN, et nos solutions de sauvegarde et de reprise après sinistre incluent une copie hors ligne et des tests de restauration. Avec notre surveillance cyber, une surveillance automatisée 24/7 avec intervention du technicien de garde signale les nouveaux comptes d’administration, les protections désactivées et les transferts inhabituels.
Réservez votre Bilan cyber gratuit
Votre score est inférieur à 5 sur 5, ou vous ne savez pas répondre à certaines questions? Le Bilan cyber gratuit vérifie justement vos accès à distance, vos comptes d’administration et vos sauvegardes, puis vous remet un plan clair, par ordre de priorité.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Sources
- CISA, FBI, USSS et partenaires : #StopRansomware: SafePay Ransomware, avis AA26-293A (20 octobre 2026) (en anglais)
- CISA : CISA, FBI and Partners Warn Organizations of SafePay Ransomware Actors (communiqué du 21 octobre 2026) (en anglais)
- Picus Security : CISA AA26-293A: How SafePay Ransomware Works (produits associés aux CVE) (en anglais)
- Sygnia : Exfiltration in Plain Sight: SafePay’s OneDrive Play (10 mars 2026) (en anglais)
Photo : Sergei Starostin, Pexels (licence Pexels).