Een gezamenlijke waarschuwing van CISA, de FBI en partners meldt dat SafePay-ransomware meer dan 600 slachtoffers heeft getroffen, en de manier waarop men binnenkomt is vaak pijnlijk gewoon. Volgens de waarschuwing gebruikt de groep SafePay-ransomware gestolen VPN-inloggegevens om simpelweg in te loggen, en misbruikt zij ook twee kwetsbaarheden uit 2024 in Veeam- en SonicWall-apparatuur. De les is simpel: een VPN-gateway is slechts zo veilig als zijn inloggegevens en zijn firmware.

Wat de SafePay-waarschuwing zegt

De waarschuwing, uitgegeven door CISA, de FBI en partneragentschappen, meldt dat SafePay-ransomware meer dan 600 slachtoffers heeft gecompromitteerd. Twee initiële toegangsroutes springen eruit: geldige VPN-inloggegevens die aanvallers elders hebben verkregen, en twee kwetsbaarheden uit 2024 die Veeam- en SonicWall-producten treffen.

Het bronmateriaal is beknopt, dus sommige details worden hier niet behandeld, zoals de specifieke CVE-identificaties of de volledige lijst van getroffen sectoren. Beheerders dienen de originele waarschuwing rechtstreeks te lezen voor de technische indicatoren en de lijst met mitigerende maatregelen. Wat de samenvatting wel duidelijk maakt, is het patroon: aanvallers vertrouwen niet op exotische technieken. Ze gebruiken toegang die ofwel was uitgelekt ofwel ongepatcht is gebleven.

Hoe gestolen VPN-inloggegevens en kwetsbaarheden in edge-apparatuur de deur openen

Een VPN is bedoeld als een gecontroleerde ingang tot een privénetwerk. Als een aanvaller een geldige gebruikersnaam en wachtwoord heeft, gaat die ingang voor hem open net zoals voor een werknemer. Voor de VPN ziet een gestolen inlog eruit als een legitieme sessie, en daarom is deze route zonder extra controles moeilijk te detecteren.

Gestolen inloggegevens komen doorgaans uit eerdere datalekken, phishing of hergebruik van wachtwoorden across services. Als een medewerker hetzelfde wachtwoord gebruikt voor een werk-VPN en een persoonlijk account dat later uitlekt, heeft de aanvaller helemaal geen technische kwetsbaarheid nodig.

De tweede route is ongepatchte edge-apparatuur. Firewalls, VPN-appliances en back-upsoftware staan aan de grens of in het hart van een netwerk, dus een kwetsbaarheid daarin kan aanvallers een stevig voet aan de grond geven. De waarschuwing wijst op twee kwetsbaarheden uit 2024, één in Veeam en één in SonicWall-apparatuur. Het feit dat kwetsbaarheden uit 2024 nog steeds worden gebruikt, is belangrijk: het suggereert dat er oplossingen bestaan, maar dat deze niet altijd worden toegepast.

Samen laten deze routes zien waarom perimeterhulpmiddelen dezelfde aandacht nodig hebben als elk ander kritiek systeem. Een VPN beschermt alleen verkeer als de toegang ernaartoe beschermd is, en het apparaat zelf moet actueel worden gehouden.

Stappen om VPN-toegang en edge-apparatuur te beveiligen

Niets van het volgende is exotisch, en het meeste ervan sluit aan bij de zwakke punten die de waarschuwing beschrijft.

  • Vereis multi-factorauthenticatie bij elke VPN-login. Een gestolen wachtwoord alleen zou niet genoeg moeten zijn om binnen te komen.
  • Patch SonicWall- en Veeam-producten tijdig. Controleer of de oplossingen uit 2024 daadwerkelijk zijn geïnstalleerd, niet alleen gepland.
  • Let op hergebruik van inloggegevens. Vergelijk inloggegevens van medewerkers met bekende datalekgegevens en forceer resets waar blootstelling wordt gevonden.
  • Controleer VPN-logs op ongebruikelijke activiteit. Logins op vreemde tijden, vanaf onverwachte locaties of vanaf accounts die normaal inactief zijn, verdienen extra aandacht.
  • Verwijder verouderde accounts. Voormalige medewerkers en ongebruikte contractor-logins zijn gemakkelijke doelwitten.
  • Bescherm back-ups. Veeam is back-upsoftware, dus een compromittering daar kan herstel ondermijnen. Houd kopieën geïsoleerd en test herstelprocedures.

Wat de telling van 600 slachtoffers betekent voor organisaties en gebruikers

Voor organisaties is 600+ slachtoffers een herinnering dat ransomware-groepen opschalen door te herhalen wat werkt. Als één zwakke login of één oud ongepatcht apparaat genoeg is, dan is basishygiëne een van de meest effectieve verdedigingen die beschikbaar zijn, en een van de goedkoopste.

Voor individuele gebruikers, inclusief mensen die verbinden met een werk-VPN of een commerciële VPN-dienst gebruiken, gaat de les over inloggegevens. Gebruik een uniek wachtwoord voor elk account, schakel multi-factorauthenticatie in waar deze wordt aangeboden, en wijzig wachtwoorden snel als een dienst die je gebruikt een datalek meldt. Medewerkers maken deel uit van de verdediging, aangezien hun inloggegevens precies zijn waar aanvallers op uit zijn.

Het helpt ook om te onthouden wat er gebeurt nadat een netwerk is gecompromitteerd. Ransomware-operators zetten vaak druk via afpersingseisen en dreigingen om gegevens openbaar te maken. Het ATB-afpersingsverhaal, waarin een groep die zichzelf DataSuckers noemt naar verluidt $400K eiste met 7,9 miljoen getroffenen, laat zien hoe die druk zich ontvouwt zodra aanvallers toegang hebben verkregen.

Wat dit voor jou betekent

Als je IT-systemen beheert, behandel je VPN-gateway en back-upsoftware dan als activa met hoge prioriteit. Controleer wie kan inloggen, bevestig dat multi-factorauthenticatie wordt afgedwongen, en verifieer dat SonicWall- en Veeam-updates zijn toegepast. Ben je een gewone gebruiker, beveilig dan je eigen accounts: unieke wachtwoorden, MFA en snel handelen na elke datalekmelding.

Belangrijkste punten

De waarschuwing over gestolen VPN-inloggegevens bij SafePay-ransomware is een oproep om de basis op orde te brengen. Dwing MFA af bij alle VPN-logins, patch SonicWall- en Veeam-apparaten zonder uitstel, en monitor op hergebruikte of uitgelekte inloggegevens. Aanvallers die simpelweg kunnen inloggen, hoeven niet in te breken, dus maak inloggen voor hen veel moeilijker.