CISA et le FBI ont publié un avis conjoint sur SafePay, un groupe de rançongiciel associé à plus de 600 organisations victimes depuis août 2024. Le document décrit des méthodes d’accès et des comportements observés après intrusion. Le total est cumulatif : il ne mesure pas une vague unique survenue cette semaine.
Ce que couvre l’avis
L’avis AA26-293A rassemble les observations des autorités américaines et des partenaires. Les victimes recensées couvrent plusieurs secteurs et régions. CISA décrit une opération qui combine le vol ou la devinette d’identifiants, l’hameçonnage et l’exploitation de services accessibles depuis Internet.
Après l’accès initial, les opérateurs peuvent utiliser des outils légitimes d’administration, affaiblir les défenses, se déplacer dans le réseau et exfiltrer des données avant le chiffrement. L’avis décrit aussi la menace de publication pour exercer une pression sur les victimes.
Pourquoi les accès distants comptent
Les comptes VPN et autres accès distants deviennent un point d’entrée majeur lorsqu’ils sont exposés, mal protégés ou associés à des mots de passe réutilisés. Les services laissés accessibles sur Internet doivent être inventoriés, mis à jour et surveillés ; les comptes inutilisés doivent être désactivés.
L’avis documente des techniques observées, mais il ne permet pas de conclure qu’une organisation précise est ciblée aujourd’hui. Utilisez ces informations pour prioriser les contrôles et corréler toute alerte locale avec vos propres journaux.
Réduire les possibilités d’intrusion
CISA recommande de mettre en place l’authentification multifacteur, en privilégiant les méthodes résistantes à l’hameçonnage lorsque cela est possible. Réduisez les accès distants aux personnes et appareils nécessaires, et demandez une authentification renforcée pour les comptes à privilèges.
Appliquez rapidement les correctifs aux systèmes exposés, surveillez les connexions inhabituelles et segmentez les réseaux pour limiter les déplacements. Conservez les journaux nécessaires à une enquête et vérifiez que les alertes sont examinées.
Préparer une reprise vérifiable
Gardez des sauvegardes hors ligne ou autrement protégées des comptes d’administration habituels. Testez régulièrement la restauration de systèmes et de données prioritaires. Une sauvegarde dont la restauration n’a jamais été vérifiée n’est pas un plan de reprise opérationnel.
Définissez à l’avance qui peut isoler un réseau, contacter les prestataires et coordonner la réponse. En cas d’incident, préserver les preuves et solliciter les autorités compétentes aide à comprendre l’étendue de l’intrusion.
Organiser les accès de l’équipe
Les politiques de mots de passe uniques, le contrôle des accès partagés et le retrait rapide des comptes inutilisés réduisent les risques liés aux identifiants. Soclyde aide les équipes à organiser leurs secrets professionnels ; il ne détecte pas SafePay et ne remplace pas les mesures techniques recommandées par CISA.
Découvrez les fonctionnalités Soclyde pour gérer les secrets d’équipe.
À retenir
L’avis présente SafePay comme une menace active et décrit plus de 600 organisations touchées sur une période de deux ans. Les mesures les plus concrètes portent sur l’accès distant, l’authentification, la correction des systèmes exposés et des sauvegardes testées. Consultez notre guide de sécurisation des mots de passe pour limiter la réutilisation des identifiants.
