CISA Laporkan Kelompok Ransomware SafePay Telah Bobol Lebih dari 600 Organisasi Infrastruktur Kritis

Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) mengungkapkan bahwa kelompok ransomware SafePay telah menyusup dan mengompromikan lebih dari 600 organisasi infrastruktur kritis di seluruh dunia sejak pertama kali beraksi pada tahun 2024.

Laporan peringatan bersama ini dikeluarkan oleh CISA bekerja sama dengan Biro Investigasi Federal (FBI), Dinas Rahasia AS (USSS), kepolisian kriminal negara bagian Jerman Landeskriminalamt Rheinland-Pfalz, serta Badan Kejahatan Nasional Inggris (NCA) dan Unit Kejahatan Terorganisir Regional Barat Laut Inggris.

Dalam rilis resminya, CISA kembali menegaskan bahwa pembayaran tebusan (ransom) sama sekali tidak menjamin pemulihan berkas-berkas yang telah dienkripsi oleh kelompok ransomware. Pemerintah dan aparat penegak hukum terus mendesak para korban untuk segera melaporkan setiap insiden serangan yang dialami guna membantu investigasi global.

“SafePay adalah salah satu kelompok ransomware paling aktif yang telah memengaruhi bisnis serta infrastruktur kritis di Amerika Utara, Amerika Selatan, Eropa, dan Australia—termasuk sedikitnya 600 organisasi dari berbagai sektor infrastruktur kritis sejak Agustus 2024,” jelas pihak CISA.

Modus Operandi dan Vektor Akses Awal SafePay

Berdasarkan hasil investigasi bersama, para pelaku ancaman SafePay biasanya memperoleh akses awal ke jaringan korban melalui berbagai cara, yang meliputi paparan kredensial (credential exposure), serangan brute force kata sandi, hingga mengeksploitasi akses jaringan privat virtual (VPN)—dengan catatan khusus pada alamat IP yang berasal dari penyedia layanan VPN “Mullvad”.

Selain itu, kelompok ini kerap memanfaatkan profil akun yang berhasil dicuri melalui phishing untuk menyusup ke dalam jaringan, serta mengeksploitasi kerentanan umum (CVE) pada perangkat edge dan sistem lain yang terhubung ke internet menggunakan skrip otomatisasi. Setelah berhasil masuk, para aktor SafePay biasanya berupaya mengganggu proses pemulihan sistem korban dengan cara menghapus salinan bayangan (shadow copies) serta mengatur ulang perangkat network-attached storage (NAS) yang berisi data cadangan (backup).

Berbeda dengan kebanyakan sindikat sejenis yang mengandalkan sistem afiliasi (Ransomware-as-a-Service), SafePay muncul sejak Agustus 2024 sebagai kelompok ransomware privat yang beroperasi secara mandiri tanpa melibatkan afiliasi luar. Mereka dikenal menggunakan taktik pemerasan ganda (double-extortion), di mana pelaku mencuri dokumen sensitif sebelum mengenkripsi sistem korban, lalu mengancam akan membocorkan seluruh data curian tersebut ke publik melalui situs dark web jika tebusan tidak dibayarkan.

Jumlah korban yang tercantum di situs kebocoran mereka diyakini jauh lebih kecil dari total korban sebenarnya, mengingat SafePay hanya memajang daftar nama perusahaan atau instansi yang menolak untuk membayar uang tebusan. Sejak awal tahun 2025 lalu, SafePay secara perlahan mulai mengisi kekosongan yang ditinggalkan oleh sindikat ransomware besar pendahulunya seperti BlackCat (ALPHV) dan LockBit, hingga menjelma menjadi salah satu operasi pemerasan paling aktif saat ini.

Rekomendasi Pertahanan dan Mitigasi Jaringan

Guna membentengi jaringan dari ancaman serangan SafePay, badan-badan penegak hukum dan keamanan siber internasional menyarankan para pengelola sistem jaringan (network defenders) untuk mengambil langkah-langkah mitigasi konkret:

• Membatasi perangkat administratif dan hak istimewa (privileges) guna memblokir pergerakan lateral (lateral movement) apabila terjadi pembobolan pada suatu titik.
• Menerapkan autentikasi multi-faktor (MFA) serta kebijakan manajemen identitas, kredensial, dan akses (ICAM) guna memperketat keamanan akun.
• Menjaga sistem tetap terbarui (up-to-date), dengan prioritas utama menambal celah keamanan pada VPN, firewall, dan perangkat edge lain yang terdaftar dalam katalog kerentanan aktif CISA.

Dokumen penasihat bersama ini turut memuat berbagai indikator kompromi (indicators of compromise / IOCs) serta taktik, teknik, dan prosedur (TTPs) yang dihimpun dari investigasi FBI, USSS, dan kepolisian Jerman terhadap aktivitas SafePay yang terpantau sejak November 2024 hingga Agustus 2026.

Sumber: CISA Joint Cybersecurity Advisory