SafePay: 600 vítimas e alcance na América Latina

Contexto e antecedentes

SafePay aparece no material analisado como uma operação de ransomware ativa desde agosto de 2024. O dado não vem de uma única fonte, e sim do advisory conjunto AA26-293A publicado em 20 de outubro de 2026 por CISA, FBI, Serviço Secreto dos Estados Unidos, Landeskriminalamt Rheinland-Pfalz, National Crime Agency do Reino Unido e North West Regional Organised Crime Unit. O documento estabelece um ponto de partida claro para a cronologia, com atividade contínua, alcance multinacional e pelo menos 600 vítimas.

Esse mesmo advisory é relevante porque delimita o que pode ser afirmado com segurança. Ele menciona América do Norte, América do Sul, Europa e Austrália, mas não distribui o dano por região nem identifica vítimas latino-americanas específicas. Em outras palavras, confirma que a América Latina está no raio de ação, mas não permite montar um inventário oficial de organizações afetadas por país. Tudo o que vai além desse nível, inclusive os reclamos de leak site, deve ser tratado como atribuição de terceiros ou acusação do próprio grupo.

O segundo pilar do contexto é técnico. A CISA publicou IOCs observados entre novembro de 2024 e agosto de 2026, junto com hashes, arquivos, hostnames e IPs. O aviso também esclarece que alguns nomes se referem a ferramentas legítimas, então a simples presença de um arquivo não basta para bloqueá-lo sem verificação contextual. Isso combina com um padrão recorrente em ransomware moderno, no qual ferramentas administrativas e de transferência de arquivos se misturam a artefatos maliciosos para se mover sem disparar alertas cedo demais.

Como complemento, fontes de terceiros acrescentam duas camadas de leitura. Primeiro, vários analistas observam sobreposição de código entre SafePay e LockBit 3.0 ou LockBit Black, principalmente em parâmetros de linha de comando, lógica de criptografia e artefatos de compilação. Segundo, sites de inteligência de vazamentos mostram reclamações sobre organizações da América Latina, entre elas anwo.cl, no Chile, e auromex.com, no México. Nenhuma dessas publicações, isoladamente, equivale a uma confirmação forense de comprometimento, mas ajuda a dimensionar a exposição pública do grupo na região.

Tabela de fatos-chave

Linha do tempo da operação

Cadeia de ataque e TTPs

SafePay segue uma cadeia de intrusão que combina acesso inicial oportunista, escalada operacional, exfiltração e dupla extorsão. O advisory é explícito ao dizer que os atores não dependem de uma única porta de entrada técnica. Eles podem começar com credenciais roubadas ou adivinhadas, força bruta, phishing, abuso de VPN ou exploração de sistemas expostos à internet. Esse leque explica por que a campanha pode aparecer em organizações muito diferentes entre si e em geografias separadas.

Uma vez dentro, os operadores buscam manter a sessão e se mover com ferramentas legítimas. A CISA documenta a criação ou modificação de contas com privilégios administrativos, o uso de PsExec, WinRM, RDP e software de administração remota, além da enumeração de recursos compartilhados com ShareFinder.ps1 e SharpShares.exe. Também há desativação de defesas, troca de senhas, bypass de UAC e falsificação de tokens. A atividade aponta para intrusão manual ou semimanual, não para um simples ciframento automatizado lançado ao acaso.

Na etapa de roubo de informação, o grupo usa utilitários comuns para não chamar atenção. FileZilla, 7-Zip, RClone, WinRAR, WinSCP e OneDrive aparecem como mecanismos de coleta e transferência. Em alguns casos, foi observado Backblaze. As ferramentas não são exóticas, e justamente por isso complicam a detecção baseada só em assinaturas, já que muitas fazem parte de fluxos legítimos de administração ou backup. A diferença está no contexto, na sequência e na combinação com outros artefatos.

A fase final mistura pressão técnica e psicológica. Antes de cifrar, os operadores interrompem o Volume Shadow Copy Service e podem redefinir dispositivos NAS que guardam cópias de backup. Depois, criptografam com ChaCha20 e RSA, normalmente acrescentam a extensão .SafePay e aplicam um esquema de dupla extorsão. A nota de resgate leva a um portal Tor, inclui um identificador da vítima e costuma vir acompanhada de ligações telefônicas de um representante. Se a vítima não paga, os dados são publicados no leak site. Em paralelo, fontes como AttackIQ e SafeBreach agregam ferramentas de persistência ou roubo de credenciais que ampliam o quadro, embora essas observações devam ser lidas como análise de terceiros e não como confirmações oficiais adicionais.

Tabela de TTPs documentadas pela CISA

Vetores iniciais e vulnerabilidades observadas

A CISA identifica cinco CVE associadas ao acesso inicial observado: CVE-2020-3259, CVE-2023-20269, CVE-2023-27532, CVE-2024-40711 e CVE-2024-40766. Em fontes complementares, CVE-2023-20269 é associada à função de VPN de acesso remoto do Cisco ASA/FTD, e CVE-2023-27532 à Veeam, onde permite obter credenciais criptografadas do banco de configuração e acessar infraestrutura de backup. Brandefense acrescenta que CVE-2024-40711 também corresponde ao Veeam Backup & Replication e que CVE-2024-40766 é do SonicWall SonicOS.

O ponto relevante não é só a lista de CVEs, mas a lógica de seleção. Os atacantes parecem buscar superfícies muito usadas em ambientes corporativos, especialmente acesso remoto e backup. Se uma organização expõe VPN, administra backups remotos ou mantém serviços publicados na internet, o valor operacional para o SafePay aumenta. Esse padrão combina com o interesse por credenciais, acesso remoto e ferramentas de administração que aparecem no advisory.

Nota sobre semelhanças com LockBit

Várias fontes de terceiros informam sobreposições do SafePay com LockBit 3.0 ou LockBit Black, sobretudo em parâmetros de linha de comando, artefatos de compilação e lógica de criptografia. Esse dado é útil para a investigação técnica, mas não autoriza uma atribuição automática. O próprio material disponível o apresenta como análise de engenharia reversa ou de sobreposição de código, não como evidência de que o SafePay seja operado pelo LockBit. Essa distinção precisa ser mantida em qualquer leitura regional ou setorial.

Impacto regional

O SafePay tem uma pegada regional confirmada para a América Latina, mas o grau de certeza varia muito entre o alcance agregado do advisory e os reclamos pontuais de leak site. A CISA confirma a América do Sul dentro do raio de impacto, enquanto a Cyble acrescenta países da América Central, América do Sul, do Caribe e da América do Norte associados ao seu acompanhamento do ator. Ainda assim, o documento oficial não publica uma lista de vítimas latino-americanas nem uma atribuição por país, então a leitura regional precisa separar alcance operacional, reclamos públicos e confirmação independente.

Panorama regional

O panorama regional é o de uma campanha transnacional com efeitos verificados em vários continentes e sinais públicos de atividade na América Latina. A CISA informa ao menos 600 vítimas distintas e confirma a América do Sul dentro do alcance. A Cyble, além disso, inclui Argentina, Chile, Colômbia, Peru, Paraguai, Guatemala, El Salvador, México, Porto Rico, Bermudas, Barbados, Jamaica e Curaçao em seu acompanhamento do SafePay. Isso não transforma todos esses países em vítimas confirmadas, mas mostra uma presença de reclamações e observação regional contínua.

A implicação operacional é clara. Campanhas desse tipo não precisam de um único vetor nem de uma única geografia. Elas podem entrar por VPN, credenciais vazadas, phishing ou exploração de serviços expostos e, depois, se apoiar em ferramentas legítimas para se mover, exfiltrar e cifrar. Na América Latina, isso torna especialmente importantes os controles sobre acesso remoto, backups, segmentação e resposta a contas comprometidas. Também obriga a desconfiar de indexações de leak sites sem corroboracão independente.

Argentina

A Argentina aparece no acompanhamento da Cyble como um dos países associados ao SafePay, mas o material oficial não identifica uma vítima argentina concreta. A CISA também não oferece um desdobramento nacional dentro da América do Sul. A consequência é que hoje só se pode afirmar que a Argentina está no conjunto de países monitorados por terceiros e dentro do raio regional agregado confirmado pelo advisory, não que exista uma intrusão verificada em uma organização argentina específica.

O material, porém, permite reconstruir o que seria preciso procurar se uma organização do país suspeitar de comprometimento. Os vetores observados incluem phishing, abuso de VPN, exploração de CVEs, movimento lateral com PsExec, WinRM e RDP, enumeração de shares com ShareFinder.ps1 e SharpShares.exe, e exfiltração com RClone, WinSCP ou OneDrive. Mas esses comportamentos são gerais da operação e não equivalem a um caso argentino identificado.

Chile

O Chile aparece de forma mais visível pelas reclamações públicas sobre anwo.cl, mas o estado probatório continua o mesmo: uma reclamação do grupo, não uma confirmação forense independente. Recent Breaches, Ransomware.live, Dark Eye e DeXpose indexam a publicação como atribuída ao SafePay, e algumas dessas fontes acrescentam contexto setorial, como HVAC ou serviços. Nenhuma delas prova por si só a intrusão, a exfiltração ou a criptografia.

Para o Chile, então, há uma diferença fundamental entre reclamação e evidência confirmada. A CISA não menciona o país nem vincula um incidente concreto a uma vítima chilena. Ela detalha, sim, o padrão que poderia ter antecedido um comprometimento real, de credenciais e VPN até exfiltração e dupla extorsão. Em termos de monitoramento, o caso chileno deve ser lido como um alerta de exposição, não como uma atribuição fechada.

México

O México aparece em dois planos distintos. A Security Arsenal registrou uma publicação do SafePay para auromex.com, classificada como organização do setor manufatureiro, e esclareceu que foi a única entrada com código de país MX naquele lote de nove reclamações. A CISA, por sua vez, confirma o alcance à América do Norte, mas não detalha vítimas mexicanas nem vincula os vetores observados a auromex.com ou a outra entidade do país.

Isso deixa uma situação parecida com a do Chile, embora com uma diferença de fonte. Aqui não há apenas um indexador de leak site, mas também uma observação de setor feita pela Security Arsenal. Ainda assim, a própria fonte esclarece que a corroboração mostra que o grupo publicou as acusações, não que as organizações tenham sido comprometidas. O valor analítico está no sinal de interesse do ator pela manufatura mexicana, não em uma confirmação de intrusão.

Estados Unidos

Os Estados Unidos aparecem com maior densidade documental porque várias fontes de terceiros e o próprio advisory ampliam a cobertura do impacto agregado. A CISA confirma que a América do Norte está dentro do alcance, e a Dark Web Sonar estima, com base em listagens do leak site, uma presença importante de organizações norte-americanas entre as publicações do SafePay. Mesmo assim, o advisory não reconstrói uma lista oficial de vítimas nos Estados Unidos nem oferece uma contagem exclusiva para o país.

Para a análise regional, isso importa por dois motivos. Primeiro, sugere que a operação deixou uma marca ampla em grandes ambientes corporativos e de infraestrutura crítica. Segundo, reforça a cautela metodológica, porque mesmo quando há centenas de reclamações, isso não equivale a centenas de compromissos confirmados. O material oficial continua delimitando bem o alcance geográfico, mas não resolve a atribuição individual de cada entrada do leak site.

Países sem cobertura verificável adicional

Não há fatos verificáveis adicionais no research para Paraguai, Bolívia, Peru, Colômbia, Brasil e Uruguai além do alcance regional agregado do advisory e das listas de acompanhamento de terceiros.

Indicadores técnicos

A CISA publica IOCs observados entre novembro de 2024 e agosto de 2026. O próprio aviso esclarece que alguns arquivos e ferramentas são legítimos, então a resposta defensiva deve ser contextual e não baseada apenas em bloqueio automático. Nesse ponto, a lista oficial é útil para hunting, correlação e triagem, não para decisões mecânicas sem validação do ambiente.

Tabela de IOCs publicados pela CISA

Infraestrutura e ferramentas associadas

O advisory também associa 88.119.167[.]239 ao soc.dll, 5.255.11[.]134 e 37.10.71[.]188 à exfiltração, 173.194.194[.]94 ao armazenamento de dados de vítimas e 167.235.225[.]149 a painéis de login de clientes. Além disso, menciona OneDrive, Backblaze B2, um portal de negociação Tor e o leak site do SafePay. Entre os artefatos técnicos aparecem nxc.exe, netscan.exe, nltest.exe, Socks.exe, Socks_werfault.exe e b2.exe. Tudo isso reforça um ecossistema operacional misto, no qual convivem infraestruturas próprias, contas em serviços comerciais e utilitários de administração reutilizados.