SafePay: 600 víctimas y huella LATAM

Contexto y antecedentes

SafePay aparece en el material analizado como una operación de ransomware activa desde agosto de 2024. El dato no proviene de una sola fuente, sino del advisory conjunto AA26-293A publicado el 20 de octubre de 2026 por CISA, el FBI, el Servicio Secreto de Estados Unidos, el Landeskriminalamt Rheinland-Pfalz, la National Crime Agency del Reino Unido y la North West Regional Organised Crime Unit. El documento establece un punto de partida claro para la cronología: actividad sostenida, alcance multinacional y al menos 600 víctimas.

Ese mismo advisory es importante porque fija el límite de lo que sí puede afirmarse con certeza. Habla de Norteamérica, Sudamérica, Europa y Australia, pero no distribuye el daño por región ni identifica víctimas latinoamericanas concretas. En otras palabras, confirma que América Latina está dentro del radio de acción, pero no permite reconstruir un inventario oficial de organizaciones afectadas por país. Todo lo que excede ese nivel, incluyendo los reclamos de leak site, debe tratarse como atribución de terceros o como acusación del propio grupo.

El segundo pilar del contexto es técnico. CISA publicó IOCs observados entre noviembre de 2024 y agosto de 2026, junto con hashes, archivos, hostnames e IPs. El aviso también aclara que algunos nombres remiten a herramientas legítimas, así que la simple presencia de un archivo no basta para bloquearlo sin verificación contextual. Eso encaja con un patrón recurrente en ransomware moderno, donde las herramientas administrativas y de transferencia de archivos se mezclan con artefactos maliciosos para moverse sin levantar alertas tempranas.

Como material complementario, fuentes de terceros agregan dos capas de interpretación. Primero, varios analistas observan solapamientos de código entre SafePay y LockBit 3.0 o LockBit Black, sobre todo en parámetros de línea de comandos, lógica de cifrado y artefactos de compilación. Segundo, los sitios de inteligencia de fugas muestran reclamos sobre organizaciones de América Latina, entre ellas anwo.cl en Chile y auromex.com en México. Ninguna de esas publicaciones equivale por sí sola a una confirmación forense de compromiso, pero sí ayuda a dimensionar la exposición pública del grupo en la región.

Tabla de hechos clave

Timeline de la operación

Cadena de ataque y TTPs

SafePay sigue una cadena de intrusión que combina acceso inicial oportunista, escalada operativa, exfiltración y doble extorsión. El advisory es explícito en que los actores no dependen de una única entrada técnica. Pueden empezar con credenciales robadas o adivinadas, fuerza bruta, phishing, abuso de VPN o explotación de sistemas expuestos a Internet. Ese abanico explica por qué la campaña puede aparecer en organizaciones muy distintas entre sí y en geografías separadas.

Una vez dentro, los operadores buscan sostener la sesión y moverse con herramientas legítimas. CISA documenta la creación o modificación de cuentas con privilegios administrativos, el uso de PsExec, WinRM, RDP y software de administración remota, además de la enumeración de recursos compartidos con ShareFinder.ps1 y SharpShares.exe. También hay desactivación de defensas, cambios de contraseña, bypass de UAC y suplantación de tokens. La actividad apunta a una intrusión manual o semimanual, no a un mero cifrado automatizado lanzado al azar.

En la etapa de robo de información, el grupo emplea utilidades corrientes para no levantar sospechas. FileZilla, 7-Zip, RClone, WinRAR, WinSCP y OneDrive aparecen como mecanismos de recopilación y transferencia. En ciertos casos se observó Backblaze. Las herramientas no son exóticas, y justamente por eso complican la detección basada solo en firmas: muchas forman parte de flujos legítimos de administración o backup. La diferencia está en el contexto, la secuencia y la combinación con otros artefactos.

La fase final mezcla presión técnica y psicológica. Antes de cifrar, los operadores detienen Volume Shadow Copy Service y pueden restablecer dispositivos NAS que guardan copias de respaldo. Después cifran con ChaCha20 y RSA, normalmente añaden la extensión .SafePay y aplican un esquema de doble extorsión. La nota de rescate remite a un portal Tor, incluye un identificador de víctima y suele venir acompañada por llamadas telefónicas de un representante. Si la víctima no paga, los datos se publican en el leak site. En paralelo, fuentes como AttackIQ y SafeBreach agregan herramientas de persistencia o robo de credenciales que amplían el cuadro, aunque esas observaciones deben leerse como análisis de terceros y no como confirmaciones oficiales adicionales.

Tabla TTPs documentadas por CISA

Vectores iniciales y vulnerabilidades observadas

CISA identifica cinco CVE asociadas al acceso inicial observado: CVE-2020-3259, CVE-2023-20269, CVE-2023-27532, CVE-2024-40711 y CVE-2024-40766. En las fuentes complementarias, CVE-2023-20269 se asocia a la función VPN de acceso remoto de Cisco ASA/FTD y CVE-2023-27532 a Veeam, donde permite obtener credenciales cifradas desde la base de configuración y acceder a infraestructura de backup. Brandefense agrega que CVE-2024-40711 también corresponde a Veeam Backup & Replication y CVE-2024-40766 a SonicWall SonicOS.

El punto relevante no es solo la lista de CVE, sino la lógica de selección. Los atacantes parecen buscar superficies muy utilizadas en entornos empresariales, especialmente acceso remoto y backup. Si una organización expone VPN, administra backups remotos o mantiene servicios publicados hacia Internet, el valor operativo para SafePay aumenta. Ese patrón encaja con el interés por credenciales, acceso remoto y herramientas de administración que aparecen en el advisory.

Nota sobre similitudes con LockBit

Varias fuentes de terceros informan solapamientos de SafePay con LockBit 3.0 o LockBit Black, sobre todo en parámetros de línea de comandos, artefactos de compilación y lógica de cifrado. Ese dato es útil para la investigación técnica, pero no autoriza una atribución automática. El propio material disponible lo presenta como análisis de ingeniería inversa o de solapamiento de código, no como evidencia de que SafePay sea operado por LockBit. Esa distinción debe mantenerse en cualquier lectura regional o sectorial.

Impacto regional

SafePay tiene una huella regional confirmada para América Latina, pero el grado de certeza varía mucho entre el alcance agregado del advisory y los reclamos puntuales de leak site. CISA confirma Sudamérica dentro del radio de impacto, mientras que Cyble agrega países de Centroamérica, Sudamérica, el Caribe y Norteamérica asociados a su seguimiento del actor. Aun así, el documento oficial no publica un listado de víctimas latinoamericanas ni una atribución por país, así que la lectura regional debe separar alcance operativo, reclamos públicos y confirmación independiente.

Panorama regional

El panorama regional es el de una campaña transnacional con efectos verificados en múltiples continentes y señales públicas de actividad en América Latina. CISA informa al menos 600 víctimas separadas y confirma Sudamérica dentro del alcance. Cyble, además, incluye a Argentina, Chile, Colombia, Perú, Paraguay, Guatemala, El Salvador, México, Puerto Rico, Bermudas, Barbados, Jamaica y Curazao en su seguimiento de SafePay. Eso no convierte a todos esos países en víctimas confirmadas, pero sí muestra una presencia de reclamos y observación regional sostenida.

La implicación operativa es clara. Las campañas de este tipo no necesitan un único vector ni una sola geografía. Pueden entrar por VPN, credenciales filtradas, phishing o explotación de servicios expuestos, y luego apoyarse en herramientas legítimas para moverse, exfiltrar y cifrar. En América Latina, eso vuelve especialmente relevantes los controles sobre acceso remoto, backups, segmentación y respuesta a cuentas comprometidas. También obliga a desconfiar de las indexaciones de leak sites sin corroboración independiente.

Argentina

Argentina figura en el seguimiento de Cyble como uno de los países asociados a SafePay, pero el material oficial no identifica una víctima argentina concreta. CISA tampoco ofrece un desglose nacional dentro de Sudamérica. La consecuencia es que hoy solo puede afirmarse que Argentina está dentro del conjunto de países monitoreados por terceros y dentro del radio regional agregado confirmado por el advisory, no que exista una intrusión verificada en una organización argentina específica.

El material sí permite reconstruir qué habría que buscar si una organización del país sospecha compromiso. Los vectores observados incluyen phishing, abuso de VPN, explotación de CVE, movimiento lateral con PsExec, WinRM y RDP, enumeración de shares con ShareFinder.ps1 y SharpShares.exe, y exfiltración con RClone, WinSCP o OneDrive. Pero esos comportamientos son generales de la operación y no equivalen a un caso argentino identificado.

Chile

Chile aparece de manera más visible por los reclamos públicos de anwo.cl, pero el estado probatorio sigue siendo el mismo: un reclamo del grupo, no una confirmación forense independiente. Recent Breaches, Ransomware.live, Dark Eye y DeXpose indexan la publicación como atribuida a SafePay, y algunas de esas fuentes agregan contexto sectorial, como HVAC o servicios. Ninguna de ellas prueba por sí sola la intrusión, la exfiltración o el cifrado.

Para Chile, entonces, hay una diferencia fundamental entre reclamo y evidencia confirmada. CISA no menciona al país ni vincula un incidente concreto a una víctima chilena. Sí detalla el patrón que podría haber precedido un compromiso real, desde credenciales y VPN hasta exfiltración y doble extorsión. En términos de monitoreo, el caso chileno debe leerse como una advertencia de exposición, no como una atribución cerrada.

México

México aparece en dos planos distintos. Security Arsenal registró una publicación de SafePay para auromex.com, clasificada como organización del sector manufacturero, y aclaró que fue la única entrada con código de país MX en esa tanda de nueve reclamos. CISA, por su parte, confirma el alcance a Norteamérica pero no desglosa víctimas mexicanas ni vincula los vectores observados con auromex.com o con otra entidad del país.

Eso deja una situación similar a la de Chile, aunque con una diferencia de fuente. Aquí no hay solo un indexador de leak site, sino también una observación de sector por parte de Security Arsenal. Aun así, la propia fuente aclara que la corroboración demuestra que el grupo publicó las acusaciones, no que las organizaciones hayan sido comprometidas. El valor analítico está en la señal de interés del actor sobre manufactura mexicana, no en una confirmación de intrusión.

Estados Unidos

Estados Unidos aparece con mayor densidad documental porque varias fuentes de terceros y el propio advisory amplían la cobertura del impacto agregado. CISA confirma que Norteamérica está dentro del alcance, y Dark Web Sonar estima, a partir de listados del leak site, una presencia importante de organizaciones estadounidenses entre las publicaciones de SafePay. Aun así, el advisory no reconstruye una lista oficial de víctimas de Estados Unidos ni ofrece un conteo exclusivo para ese país.

Para el análisis regional, esto importa por dos motivos. Primero, sugiere que la operación dejó huella amplia en grandes entornos corporativos y de infraestructura crítica. Segundo, refuerza la cautela metodológica: incluso cuando hay centenares de reclamos, eso no equivale a centenares de compromisos confirmados. El material oficial sigue delimitando bien el alcance geográfico, pero no resuelve la atribución individual de cada entrada del leak site.

Países sin cobertura verificable adicional

No hay hechos verificables adicionales en el research para Paraguay, Bolivia, Perú, Colombia, Brasil y Uruguay más allá del alcance regional agregado del advisory y de las listas de seguimiento de terceros.

Indicadores técnicos

CISA publica IOCs observados entre noviembre de 2024 y agosto de 2026. El propio aviso aclara que algunos archivos y herramientas son legítimos, de modo que la respuesta defensiva debe ser contextual y no puramente de bloqueo automático. En este punto, la lista oficial es útil para hunting, correlación y triage, no para tomar decisiones mecánicas sin validar el entorno.

Tabla de IOCs publicados por CISA

Infraestructura y herramientas asociadas

El advisory también asocia 88.119.167[.]239 con soc.dll, 5.255.11[.]134 y 37.10.71[.]188 con exfiltración, 173.194.194[.]94 con alojamiento de datos de víctimas y 167.235.225[.]149 con paneles de inicio de sesión de clientes. Además menciona OneDrive, Backblaze B2, un portal de negociación Tor y el leak site de SafePay. Entre los artefactos técnicos aparecen nxc.exe, netscan.exe, nltest.exe, Socks.exe, Socks_werfault.exe y b2.exe. Todo esto refuerza un ecosistema operativo mixto, donde conviven infraestructuras propias, cuentas en servicios comerciales y utilidades de administración reutilizadas.