ANWO y SafePay: filtración y aviso global

SafePay publicó posteriormente archivos atribuidos a ANWO, entre ellos finiquitos con nombres, RUT y firmas, además de contratos laborales y documentos sobre razones de desvinculación, según una fuente citada por Newschu. Esa difusión aparece en el marco de una campaña de extorsión que, de acuerdo con un aviso conjunto de CISA, FBI y organismos asociados, ya suma al menos 600 víctimas desde agosto de 2024 en organizaciones de infraestructura crítica de Norteamérica, Sudamérica, Europa y Australia.

¿Qué se conoce sobre la filtración atribuida a ANWO?

Según la cobertura disponible, SafePay difundió documentos que se atribuyen a ANWO, pero esa atribución no está confirmada oficialmente. La fuente mencionada por Newschu habla de finiquitos con datos personales y firmas, junto con contratos laborales y papeles vinculados a las razones de desvinculación.

Ese material amplía el alcance potencial de la exposición, porque no se limitaría a información corporativa general. La presencia de nombres, RUT y firmas en los finiquitos eleva la sensibilidad del contenido filtrado, aunque el reporte disponible no indica una validación pública de ANWO ni de un organismo chileno.

¿Qué dice el aviso internacional sobre SafePay?

El aviso conjunto de CISA, FBI y organismos asociados atribuye a SafePay al menos 600 víctimas desde agosto de 2024. La señal es global y abarca organizaciones de infraestructura crítica en Norteamérica, Sudamérica, Europa y Australia, pero no identifica a ANWO ni confirma una víctima específica en Chile.

Los análisis técnicos asociados a ese aviso describen un patrón consistente. Los operadores suelen entrar con credenciales comprometidas y con el aprovechamiento de vulnerabilidades conocidas en dispositivos perimetrales expuestos a internet, incluidos equipos conectados a VPN. Mallory.ai agrega que también se usan credenciales robadas o conseguidas mediante phishing, adivinación de contraseñas y explotación de VPN u otros servicios expuestos.

¿Cómo opera el grupo según los análisis técnicos?

La campaña se apoya en doble extorsión y combina varias vías de presión. Cyber Threat describe un portal de negociación en Tor, llamadas telefónicas realizadas en nombre del grupo y publicación de datos cuando no se alcanza un acuerdo.

Mallory.ai agrega que, después del acceso inicial, SafePay utiliza herramientas legítimas para el movimiento lateral y el robo de datos. Ese detalle encaja con el patrón que suelen describir los avisos sobre el grupo, en el que la intrusión se complementa con exfiltración y con mecanismos de negociación para forzar el pago.