Un aviso conjunto de la CISA, el FBI y sus socios indica que el ransomware SafePay ha afectado a más de 600 víctimas, y la forma de entrada suele ser dolorosamente común. Según la advertencia, el grupo utiliza el ransomware SafePay con credenciales VPN robadas para simplemente iniciar sesión, y también explota dos fallos de 2024 en equipos de Veeam y SonicWall. La conclusión es simple: una puerta de enlace VPN es tan segura como lo sean sus inicios de sesión y su firmware.

Qué dice el aviso sobre SafePay

El aviso, emitido por la CISA, el FBI y agencias asociadas, informa que el ransomware SafePay ha comprometido a más de 600 víctimas. Destacan dos rutas de acceso inicial: credenciales VPN válidas que los atacantes obtuvieron en otro lugar, y dos vulnerabilidades de 2024 que afectan a productos de Veeam y SonicWall.

El material de origen es breve, por lo que aquí no se cubren algunos detalles, como los identificadores CVE específicos o la lista completa de sectores afectados. Los administradores deberían leer el aviso original directamente para conocer los indicadores técnicos y la lista de mitigaciones. Lo que el resumen sí deja claro es el patrón: los atacantes no dependen de técnicas exóticas. Están utilizando acceso que se filtró o que quedó sin parchear.

Cómo los inicios de sesión VPN robados y los fallos en dispositivos perimetrales abren la puerta

Una VPN está pensada para ser una entrada controlada a una red privada. Si un atacante posee un nombre de usuario y una contraseña válidos, esa entrada se abre para él igual que para un empleado. Para la VPN, un inicio de sesión robado parece una sesión legítima, y por eso esta ruta puede ser difícil de detectar sin comprobaciones adicionales.

Las credenciales robadas suelen provenir de filtraciones anteriores, phishing o reutilización de contraseñas entre servicios. Si un empleado usa la misma contraseña para una VPN de trabajo y una cuenta personal que después se filtra, el atacante no necesita ningún exploit técnico.

La segunda ruta son los dispositivos perimetrales sin parchear. Los firewalls, los equipos VPN y el software de copia de seguridad se sitúan en el límite o en el corazón de una red, por lo que un fallo en ellos puede dar a los atacantes una base sólida. El aviso señala dos fallos de 2024, uno en Veeam y otro en equipos SonicWall. El hecho de que las vulnerabilidades de 2024 sigan utilizándose importa: sugiere que existen correcciones pero no siempre se aplican.

Juntas, estas rutas muestran por qué las herramientas perimetrales necesitan la misma atención que cualquier otro sistema crítico. Una VPN protege el tráfico solo si el acceso a ella está protegido, y el propio dispositivo debe mantenerse actualizado.

Pasos para reforzar el acceso VPN y los dispositivos perimetrales

Nada de lo siguiente es exótico, y la mayor parte coincide con las debilidades que describe el aviso.

  • Exigir autenticación multifactor en cada inicio de sesión VPN. Una contraseña robada por sí sola no debería bastar para entrar.
  • Parchear promptly los productos SonicWall y Veeam. Comprobar que las correcciones de 2024 se hayan instalado realmente, no solo programado.
  • Vigilar la reutilización de credenciales. Comparar las credenciales de los empleados con datos conocidos de filtraciones y forzar restablecimientos donde se detecte exposición.
  • Revisar los registros de VPN en busca de actividad inusual. Los inicios de sesión a horas extrañas, desde ubicaciones inesperadas o desde cuentas que normalmente están inactivas merecen una mirada más cercana.
  • Eliminar cuentas obsoletas. Los exempleados y los inicios de sesión de contratistas sin usar son objetivos fáciles.
  • Proteger las copias de seguridad. Veeam es software de copia de seguridad, por lo que un compromiso ahí puede socavar la recuperación. Mantener copias aisladas y probar las restauraciones.

Qué significa el recuento de 600 víctimas para organizaciones y usuarios

Para las organizaciones, más de 600 víctimas es un recordatorio de que los grupos de ransomware escalan repitiendo lo que funciona. Si un solo inicio de sesión débil o un dispositivo antiguo sin parchear es suficiente, entonces la higiene básica es una de las defensas más eficaces disponibles, y una de las más baratas.

Para los usuarios individuales, incluidas las personas que se conectan a una VPN de trabajo o usan un servicio VPN de consumo, la lección tiene que ver con las credenciales. Usar una contraseña única para cada cuenta, activar la autenticación multifactor siempre que se ofrezca y cambiar las contraseñas promptly si un servicio que utiliza informa una filtración. Los empleados forman parte de la defensa, ya que sus inicios de sesión son exactamente lo que buscan los atacantes.

También ayuda recordar qué ocurre después de que se compromete una red. Los operadores de ransomware a menudo añaden presión mediante exigencias de extorsión y amenazas de exponer datos. La historia de extorsión de ATB, en la que un grupo que se autodenomina DataSuckers supuestamente exigió 400 000 dólares con 7,9 millones de personas afectadas, muestra cómo se desarrolla esa presión una vez que los atacantes han obtenido acceso.

Qué significa esto para ti

Si gestionas sistemas de TI, trata tu puerta de enlace VPN y tu software de copia de seguridad como activos de alta prioridad. Audita quién puede iniciar sesión, confirma que la autenticación multifactor está aplicada y verifica que las actualizaciones de SonicWall y Veeam estén instaladas. Si eres un usuario cotidiano, protege tus propias cuentas: contraseñas únicas, MFA y acción rápida tras cualquier aviso de filtración.

Conclusiones clave

La advertencia sobre credenciales VPN robadas por el ransomware SafePay es un llamado a corregir lo fundamental. Aplicar MFA en todos los inicios de sesión VPN, parchear los dispositivos SonicWall y Veeam sin demora y monitorear credenciales reutilizadas o filtradas. Los atacantes que pueden simplemente iniciar sesión no necesitan irrumpir, así que házles mucho más difícil iniciar sesión.