Les méthodes du groupe SafePay : comment les cybercriminels infiltrent les réseaux

Le groupe SafePay Ransomware exploite des failles connues dans les dispositifs exposés sur internet, notamment via des services VPN, pour s’introduire dans les réseaux, comme l’indique la CISA. Une fois à l’intérieur, les acteurs malveillants utilisent des outils légitimes déjà présents dans les systèmes pour se déplacer latéralement, désactiver ou supprimer les sauvegardes, et chiffrer les données. Selon l’avis conjoint, ils menacent ensuite les victimes de publier les informations volées ou de les contacter directement pour exiger un paiement en cryptomonnaie.

L’accès initial se fait souvent par des identifiants compromis ou des vulnérabilités non corrigées, comme le souligne Chris Butera, adjoint exécutif de la CISA : « Les dispositifs exposés avec des vulnérabilités connues restent une cible privilégiée pour des groupes comme SafePay ». Les secteurs critiques, tels que définis par les autorités américaines, sont particulièrement visés, avec une activité concentrée en Amérique, en Europe et en Australie.

Les dispositifs exposés avec des vulnérabilités connues restent une cible privilégiée pour des groupes comme SafePay, selon la CISA.

Une menace globale : 600 victimes en deux ans, un record pour un groupe récent

Depuis son émergence en août 2024, SafePay Ransomware a compromis environ 600 organisations à travers le monde, un chiffre inhabituellement élevé pour un groupe actif depuis seulement deux ans, selon les données croisées des autorités américaines et des partenaires internationaux comme le Landeskriminalamt allemand ou la National Crime Agency britannique. Cette campagne ciblée touche aussi bien des entreprises privées que des opérateurs d’infrastructures critiques, comme le précise l’avis #StopRansomware publié sous le numéro AA26-293A.

Les méthodes employées par SafePay incluent le phishing, l’exploitation de failles logicielles et l’utilisation de techniques d’ingénierie sociale pour obtenir des accès initiaux. Une fois la porte d’entrée trouvée, les acteurs se déplacent dans le réseau pour localiser des données sensibles, les chiffrer, et exiger une rançon, tout en menaçant de divulguer les informations volées si la demande n’est pas satisfaite.

Ce que cela change ici : recommandations urgentes pour les entreprises et administrations d’Afrique de l’Ouest

Pour les entreprises et administrations du Bénin et d’Afrique de l’Ouest, cette alerte internationale souligne l’importance de renforcer immédiatement les défenses contre les ransomwares. Les recommandations des autorités américaines et européennes pourraient s’appliquer localement : mettre à jour systématiquement les systèmes, exiger une authentification multifactorielle, maintenir des sauvegardes hors ligne et segmenter les réseaux pour limiter la propagation d’une attaque. La CISA et le FBI insistent sur le fait que ces mesures réduiraient significativement les risques d’intrusion et d’impact d’une attaque SafePay.

Les infrastructures critiques du Bénin, comme les services publics ou les opérateurs de télécommunications, pourraient être particulièrement exposées si des vulnérabilités dans les dispositifs connectés à internet ne sont pas corrigées. Les services VPN, souvent utilisés pour sécuriser les accès distants, deviennent aussi des vecteurs d’attaque privilégiés. Une vigilance accrue sur les tentatives de phishing et une formation renforcée des employés aux bonnes pratiques de cybersécurité seraient donc essentielles.

Comment se protéger : les mesures techniques et organisationnelles préconisées

L’avis conjoint de la CISA et du FBI fournit des indicateurs de compromission (IOCs) et des procédures recommandées pour détecter et contrer les activités de SafePay. Parmi les actions prioritaires figurent : la correction urgente des vulnérabilités connues, la réalisation de triages forensiques pour identifier d’éventuelles intrusions, et l’application stricte du principe du moindre privilège pour limiter les mouvements latéraux des attaquants.

Les organisations sont également encouragées à surveiller activement les tentatives de connexion suspectes, à isoler les systèmes critiques et à former les équipes IT aux dernières tactiques des ransomwares. Brett Leatherman, assistant directeur de la division cyber du FBI, rappelle que « les défenseurs de réseaux disposent désormais de directives claires et actionnables pour protéger leurs organisations contre l’un des groupes de ransomware les plus actifs de 2026 ». Ces conseils, bien que issus d’un contexte international, peuvent servir de référence pour les structures locales.