CISA ve FBI uyardı: SafePay fidye yazılımı en az 600 kuruluşu vurdu

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) ve Federal Soruşturma Bürosu (FBI), uluslararası ortaklarıyla birlikte SafePay fidye yazılım grubuna ilişkin #StopRansomware serisinden ortak bir siber güvenlik danışma bülteni yayımladı. 20 Ekim 2026'da duyurulan bültene göre grup, Ağustos 2024'ten bu yana en az 600 ayrı kurbanı etkiledi.

Bültenin öne çıkanları

• Kurbanların büyük bölümü birden fazla kritik altyapı sektöründen.
• Saldırılar Kuzey Amerika, Güney Amerika, Avrupa ve Avustralya'daki kuruluşları etkiledi.
• Bülten, ABD Gizli Servisi, Almanya'daki Rheinland-Pfalz Eyalet Kriminal Dairesi (LKA) ve Birleşik Krallık kolluk birimlerinin katkısıyla hazırlandı.

SafePay nasıl çalışıyor?

SafePay, 2024 ortasında ortaya çıkan ve büyük grupların aksine iştirak (affiliate) modeli kullanmadan, bağımsız olarak çalışan bir fidye yazılım operasyonu. Kurumların danışma bülteninde ve basın haberlerinde yer alan bilgilere göre grubun başlıca ilk erişim yöntemleri:

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

• açığa çıkmış veya çalınmış kimlik bilgileri,
• kaba kuvvet (brute force) parola saldırıları,
• VPN erişimlerinin kötüye kullanımı,
• Veeam Backup & Replication ve SonicWall SonicOS'taki bilinen zafiyetlerin istismarı,
• kimlik avı.

Grup içeri girdikten sonra veri çalıyor, yedekleri devre dışı bırakıyor ve sistemleri şifreleyerek çifte şantaj uyguluyor.

Neden önemli?

İştiraksiz çalışan grupların araç ve yöntemleri daha tutarlı olduğundan, bu bültendeki göstergeler (IOC) ve davranış kalıpları savunma ekipleri için doğrudan kullanılabilir. Yedekleme altyapısının özellikle hedef alınması, kurumların kurtarma kabiliyetini ortadan kaldırarak ödeme baskısını artırıyor.

Ne yapılmalı?

• Veeam, SonicWall ve diğer internete açık cihazlarda bilinen açıklar öncelikli olarak yamalanmalı.
• VPN ve uzaktan erişim hizmetlerinde çok faktörlü kimlik doğrulama zorunlu tutulmalı; kaba kuvvet denemelerine karşı hesap kilitleme ve izleme uygulanmalı.
• Yönetici ayrıcalıkları sınırlandırılmalı, kimlik ve erişim yönetimi güçlendirilmeli.
• Yedekleme sunucuları ayrı kimlik altyapısıyla yönetilmeli ve değiştirilemez kopyalar tutulmalı.
• CISA bültenindeki göstergeler ve önerilen önlemler güvenlik araçlarına aktarılmalı.