SafePay: cómo recuperar tus archivos y qué hacer

Esta guía es orientativa y se actualiza conforme surge nueva información. No garantiza la recuperación de archivos.

Resumen

SafePay es una operación de ransomware que surgió en septiembre de 2024 y creció con rapidez, con un modelo operativo cerrado (sin afiliados) gestionado internamente por el propio grupo. Este documento describe cómo identificar una infección por SafePay, qué pasos inmediatos tomar para contener el incidente y preservar evidencia, y cuáles son las opciones realistas de recuperación. Es importante señalar desde el inicio que, al momento de esta redacción, no existe un descifrador gratuito y confiable públicamente disponible para SafePay.

TL;DR

• No hay descifrador gratuito conocido para SafePay. Desconfía de cualquier herramienta que prometa lo contrario.
• Aísla de inmediato los equipos afectados sin apagarlos abruptamente cuando sea posible, para preservar memoria y evidencia.
• Preserva la nota de rescate, muestras de archivos cifrados y registros (logs) antes de remediar.
• Restaura desde respaldos verificados y offline; es la vía más segura de recuperación.
• Involucra a un equipo de respuesta a incidentes (DFIR) y, según tu jurisdicción, a las autoridades.
• Pagar el rescate no garantiza recuperación ni la no publicación de datos robados.
• ¿Necesitas ayuda? Escríbenos a [email protected] o llama al (800) 649-0625.

1. Qué es SafePay

SafePay es una familia de ransomware observada por primera vez en septiembre de 2024. A diferencia de la mayoría de operaciones actuales, SafePay rechaza explícitamente el modelo de Ransomware como Servicio (RaaS): no recluta afiliados externos, sino que gestiona todas sus operaciones de forma interna. Esto suele implicar tácticas más consistentes entre víctimas, pero también dificulta el rastreo público de indicadores.

Para mediados de 2025, el grupo afirmaba haber comprometido a más de 300 víctimas a nivel mundial. Uno de sus ataques tempranos de alto perfil fue contra la firma británica de telemática Microlise, donde se reportó el robo de 1.2 TB de datos [1], [2]. Como muchas operaciones modernas, SafePay emplea la técnica de doble extorsión: cifra los archivos y, además, exfiltra información sensible para presionar a la víctima con la amenaza de publicarla en un sitio de filtraciones alojado en la red Tor (accesible mediante direcciones .onion, que son servicios ocultos diseñados para anonimizar tanto al servidor como al visitante).

2. Cómo identificar la infección (notas, extensiones, IOCs)

Los datos públicos verificados sobre artefactos específicos de SafePay son limitados. Al momento de esta redacción:

• Nombre de la nota de rescate: no disponible de forma verificada (n/d).
• Extensión de archivos cifrados: no disponible de forma verificada (n/d).

Dado que no contamos con extensiones o nombres de nota confirmados, la identificación debe apoyarse en señales de comportamiento:

• Archivos que dejan de abrirse o cuyo contenido aparece ilegible, frecuentemente con una extensión añadida desconocida.
• Aparición de un archivo de texto o HTML con instrucciones de contacto y amenazas de publicación de datos.
• Actividad anómala previa al cifrado: uso de herramientas de administración remota, movimiento lateral, borrado de instantáneas de volumen (Volume Shadow Copies) y deshabilitación de defensas.
• Picos de tráfico de salida (posible exfiltración de datos).

Recomendación de verificación: antes de asumir la familia, sube una muestra del archivo cifrado y de la nota a un servicio de identificación confiable como ID Ransomware [3] o consulta el portal No More Ransom [4]. Esto evita confusiones con familias que usan artefactos similares.

3. Pasos inmediatos (contención, preservación de evidencia)

1. Aislar, no destruir. Desconecta los equipos afectados de la red (cable, Wi-Fi, VPN) y segmenta. Evita apagarlos de golpe si un equipo forense puede capturar memoria RAM, ya que puede contener claves o artefactos útiles.
2. Preservar evidencia. Conserva: la nota de rescate, muestras de archivos cifrados, registros de EDR/antivirus, logs de firewall, autenticación y VPN, y cualquier binario sospechoso. Documenta fechas y horas.
3. Identificar el alcance. Determina qué sistemas, respaldos y cuentas fueron tocados. Revisa cuentas de administrador y accesos remotos comprometidos.
4. Rotar credenciales. Cambia contraseñas y revoca sesiones, priorizando cuentas privilegiadas y de acceso remoto, desde equipos limpios.
5. Notificar. Activa tu plan de respuesta a incidentes, involucra a legal y cumplimiento, y evalúa obligaciones de notificación (por ejemplo, a autoridades de protección de datos o a la agencia correspondiente en tu país) [5].
6. No comuniques aún con los atacantes sin asesoría legal y de DFIR.

4. Opciones de recuperación

Aviso clave, sin rodeos: no existe actualmente un descifrador gratuito y público para SafePay. Cualquier sitio, foro o "empresa" que garantice descifrar archivos de SafePay mediante una herramienta mágica debe tratarse con extrema sospecha: en el mejor de los casos es un intermediario que pagará el rescate sin decírtelo, y en el peor es un fraude adicional.

Opciones realistas, en orden de preferencia:

1. Restauración desde respaldos. Si tienes respaldos offline o inmutables verificados, esta es la vía más segura. Reconstruye sistemas desde cero, aplica parches y restaura datos tras confirmar que la amenaza fue erradicada.
2. Recuperación parcial. Busca instantáneas de volumen sobrevivientes, copias en la nube con versionado, o archivos en estaciones no afectadas. En muchos ataques el borrado de shadow copies es exhaustivo, pero conviene verificar.
3. Monitoreo de descifradores futuros. Guarda muestras cifradas de forma segura. Ocasionalmente aparecen descifradores cuando se filtran claves o se desmantela una operación. Consulta periódicamente No More Ransom [4].
4. Pago del rescate (último recurso, desaconsejado). No garantiza la entrega de una clave funcional ni que los datos robados no se publiquen o revendan, y puede implicar riesgos legales según sanciones aplicables [5]. Cualquier decisión debe pasar por asesoría legal y DFIR.

Nunca ejecutes herramientas de "descifrado" descargadas de fuentes no verificadas sobre tus únicos archivos cifrados: trabaja siempre sobre copias.

5. Prevención y endurecimiento

• Respaldos 3-2-1 con copias inmutables u offline, probados regularmente.
• MFA resistente a phishing en todos los accesos remotos (VPN, RDP, correo, administración).
• Reducir superficie de exposición: cerrar RDP directo a Internet, aplicar parches con prioridad a bordes de red.
• EDR/XDR con detección de comportamiento y respuesta automatizada.
• Segmentación de red y principio de menor privilegio; limitar cuentas de administrador de dominio.
• Monitoreo de exfiltración y alertas por transferencias grandes de datos salientes.
• Plan de respuesta a incidentes probado con ejercicios de mesa [6].

Advertencias honestas (limitaciones)

Este documento se basa en información pública limitada. Los nombres de nota de rescate y las extensiones de archivo de SafePay no están confirmados de forma pública verificable al momento de redactar, por lo que la identificación puede requerir análisis forense. La ausencia de un descifrador gratuito hoy no garantiza que no exista mañana, ni al revés. Ninguna medida elimina el riesgo por completo. Ante la duda, apóyate en profesionales de DFIR.

¿Necesitas apoyo? Puedes contactarnos: teléfono (800) 649-0625, correo [email protected].

Referencias

[1] BleepingComputer, "SafePay ransomware." [En línea]. Disponible: https://www.bleepingcomputer.com/

[2] The Record, "Microlise confirms cyberattack and data theft." [En línea]. Disponible: https://therecord.media/

[3] ID Ransomware. [En línea]. Disponible: https://id-ransomware.malwarehunterteam.com/

[4] No More Ransom Project. [En línea]. Disponible: https://www.nomoreransom.org/

[5] CISA, "#StopRansomware Guide." [En línea]. Disponible: https://www.cisa.gov/stopransomware

[6] CISA, "Ransomware Response Checklist." [En línea]. Disponible: https://www.cisa.gov/