CISA เตือนกลุ่ม SafePay Ransomware โจมตีองค์กรโครงสร้างพื้นฐานสำคัญทั่วโลกกว่า 600 แห่ง - Thailand Computer Emergency Response Team (ThaiCERT)

578/69 (IT) ประจำวันพฤหัสบดีที่ 22 ตุลาคม 2569

สำนักงานความมั่นคงปลอดภัยไซเบอร์และโครงสร้างพื้นฐานของสหรัฐอเมริกา (CISA) ร่วมกับสำนักงานสอบสวนกลางสหรัฐฯ (FBI) หน่วยสืบราชการลับสหรัฐฯ (USSS) สำนักงานตำรวจอาชญากรรมแห่งรัฐไรน์ลันด์-พฟัลซ์ ประเทศเยอรมนี และหน่วยงานบังคับใช้กฎหมายของสหราชอาณาจักร ได้เผยแพร่ประกาศแจ้งเตือนเกี่ยวกับกลุ่ม SafePay Ransomware ซึ่งเป็นหนึ่งในกลุ่ม Ransomware ที่มีการโจมตีอย่างต่อเนื่อง โดยระบุว่าตั้งแต่เดือนสิงหาคม 2567 กลุ่มดังกล่าวได้โจมตีองค์กรอย่างน้อย 600 แห่งในหลายภาคส่วนของโครงสร้างพื้นฐานสำคัญ ครอบคลุมทวีปอเมริกาเหนือ อเมริกาใต้ ยุโรป และออสเตรเลีย ทั้งนี้ CISA เตือนว่าการจ่ายค่าไถ่ไม่ได้รับประกันว่าจะสามารถกู้คืนไฟล์ที่ถูกเข้ารหัสได้ และแนะนำให้องค์กรที่ได้รับผลกระทบรายงานเหตุการณ์ต่อหน่วยงานบังคับใช้กฎหมาย

จากข้อมูลการสอบสวนพบว่า กลุ่ม SafePay ใช้หลายวิธีในการเข้าถึงระบบเป้าหมายในระยะแรก เช่น การใช้ Credential ที่รั่วไหล การโจมตีแบบ Brute Force เพื่อคาดเดา Password การใช้บัญชีที่ได้จาก Phishing และการใช้ประโยชน์จากช่องโหว่ในระบบ VPN, Firewall และอุปกรณ์ Edge Device ที่เปิดให้เข้าถึงจากอินเทอร์เน็ต โดยพบการเชื่อมต่อที่เกี่ยวข้องกับบริการ VPN ของ Mullvad ในกิจกรรมการโจมตีด้วย นอกจากนี้ ผู้โจมตียังใช้ Automated Script เพื่อค้นหาและใช้ประโยชน์จากช่องโหว่ที่ทราบแล้ว ก่อนดำเนินการเคลื่อนย้ายภายในเครือข่าย (Lateral Movement) เพื่อขยายการเข้าถึงระบบ รวมถึงอาจขัดขวางกระบวนการกู้คืนข้อมูลด้วยการลบ Shadow Copy และ Reset อุปกรณ์ Network-Attached Storage (NAS) ที่ใช้จัดเก็บ Backup เพื่อลดโอกาสที่องค์กรจะสามารถกู้คืนระบบได้โดยไม่ต้องจ่ายค่าไถ่

SafePay เริ่มปรากฏตัวตั้งแต่เดือนสิงหาคม 2567 โดยดำเนินงานเป็นกลุ่ม Ransomware แบบปิดที่ไม่ได้ใช้รูปแบบ Affiliate และมีพฤติกรรมโจมตีแบบ Double Extortion ซึ่งจะขโมยข้อมูลสำคัญขององค์กรก่อนเข้ารหัสระบบ จากนั้นข่มขู่ว่าจะเผยแพร่ข้อมูลที่ขโมยมา หากเหยื่อไม่ยอมจ่ายค่าไถ่ โดยจำนวนเหยื่อที่แท้จริงอาจสูงกว่าที่ปรากฏบน Leak Site เนื่องจากกลุ่มมักเผยแพร่รายชื่อเฉพาะองค์กรที่ไม่ยอมจ่ายค่าไถ่ ทั้งนี้ CISA และหน่วยงานพันธมิตรแนะนำให้องค์กรเร่งอัปเดตระบบ โดยเฉพาะช่องโหว่ใน VPN, Firewall และ Edge Device ที่อยู่ในบัญชี Known Exploited Vulnerabilities (KEV) จำกัดสิทธิ์ Administrator และการใช้งานเครื่องมือบริหารจัดการระบบ บังคับใช้ Multi-Factor Authentication (MFA) และมาตรการ Identity, Credential and Access Management (ICAM) รวมถึงตรวจสอบ Indicators of Compromise (IoC) และ Tactics, Techniques and Procedures (TTPs) ที่เผยแพร่ในประกาศ เพื่อเฝ้าระวังและลดความเสี่ยงจากการโจมตีของกลุ่ม SafePay

แหล่งข่าว : https://www.bleepingcomputer.com/news/security/cisa-and-fbi-safepay-ransomware-has-hit-over-600-critical-infrastructure-organizations/

578/69（IT）2026年10月22日，星期四。

美国网络安全和基础设施安全局 (CISA) 联合美国联邦调查局 (FBI)、美国特勤局 (USSS)、德国莱茵兰-普法尔茨州刑事警察局以及英国执法机构，发布警报，提醒公众注意 SafePay 勒索软件团伙。该团伙是目前最活跃的勒索软件攻击组织之一。警报指出，自 2024 年 8 月以来，该团伙已攻击了北美、南美、欧洲和澳大利亚至少 600 家机构，涉及多个关键基础设施领域。CISA 警告称，支付赎金并不能保证恢复被加密的文件，并建议受影响的机构向执法机构报告事件。

调查显示，SafePay 使用多种方法初步入侵目标系统，包括利用泄露的凭证、暴力破解密码、钓鱼账户以及利用 VPN、防火墙和可通过互联网访问的边缘设备中的漏洞。攻击活动中还发现了与 Mullvad 的 VPN 服务相关的连接。此外，攻击者使用自动化脚本查找并利用已知漏洞，然后横向移动以扩大其对系统的访问权限。他们可能还通过删除卷影副本和重置用于存储备份的网络附加存储 (NAS) 设备来干扰数据恢复流程，从而降低了组织在不支付赎金的情况下恢复系统的可能性。

SafePay 于 2024 年 8 月出现，是一个封闭的勒索软件组织，不采用联盟模式，并采用双重勒索攻击策略。该组织会在加密系统前窃取关键组织数据，然后威胁受害者如果不支付赎金，就会泄露被盗数据。实际受害者人数可能高于泄露网站上公布的数字，因为该组织通常只公布拒绝支付赎金的组织名单。美国网络安全和基础设施安全局 (CISA) 及其合作伙伴建议各组织紧急更新其系统，特别是那些易受已知漏洞利用 (KEV) 影响的系统，例如 VPN、防火墙和边缘设备；限制管理员权限和对系统管理工具的访问；强制执行多因素身份验证 (MFA) 和身份、凭证和访问管理 (ICAM) 措施；并审查公告中发布的入侵指标 (IoC) 和战术、技术与程序 (TTP)，以监控和降低 SafePay 攻击的风险。

来源：https://www.bleepingcomputer.com/news/security/cisa-and-fbi-safepay-ransomware-has-hit-over-600-critical-infrastructure-organizations/