通告
CISA/FBI 等联合发布
美国 CISA、FBI、特勤局与德国、英国等伙伴于 10 月 20 日发布联合通告 AA26-293A，描述 SafePay 勒索软件自 2024 年 8 月以来的活动，称其已影响北美、南美、欧洲与澳大利亚的企业及关键基础设施，受害者至少约 600 个。通告概括初始访问多依赖凭证窃取/猜测、钓鱼及对 VPN 与互联网暴露系统已知漏洞的利用，并点名若干历史 CVE；入侵后常见提权、横向移动、禁用防护、窃取后加密（扩展名 .SafePay）并索要加密货币赎金。作者机构建议优先修补 KEV、强化 MFA 与身份管理、保持离线不可变备份并做网络分段，同时提供响应清单与 IoC 下载，但摘要不罗列具体指标。
跟你的关系面向互联网暴露 VPN/防火墙与远程管理面的组织应对照通告核对接线面补丁与 MFA，并验证备份不可变性；安全运营可将 SafePay 行为画像纳入勒索狩猎基线。
活动
通告称调查所依据活动时间窗可至约 2026 年 8 月；联合通告正式发布于 2026-10-20。
- 状态
- 已公开
- 行业
- 信息技术、专业服务、政府、医疗健康、能源
- 可信度
- 高
可信度标为高：已经打开的独立调查报告不止一份。
来源
CISA · 事件调查报告 · 最先提出