CISA が SafePay の攻撃活動について警告：MFAやネットワーク分割などの対策を推奨

CISA Warns SafePay Ransomware Has Hit 600+ Organizations and Destroyed Backup Systems

2026/10/21 gbhackers — SafePay ランサムウェアの攻撃者が、各種の重要インフラ分野における 600 以上の組織を侵害し、データの窃取や暗号化に成功しただけでなく、復旧を妨害するためにバックアップ・システムも意図的に破壊していると、CISA が警告している。2026年10月20日に公開されたアドバイザリでは、2024年8月以降、北米／南米／欧州／オーストラリアで展開されてきた攻撃活動が説明されている。このアドバイザリは、FBI／米国シークレットサービス／ドイツと英国の法執行機関と共同で公開され、2026年8月までに収集された調査結果が盛り込まれている。

調査担当者が確認したのは、侵害されたアカウントの悪用と、自動化された脆弱性悪用スクリプトの使用、Mullvad VPN の IP アドレスからの接続などである。このアドバイザリが指摘する、悪用が確認された脆弱性は CVE-2020-3259／CVE-2023-20269／CVE-2023-27532／CVE-2024-40711／CVE-2024-40766 の 5 件である。これらには、情報漏えい／認証の不備／安全でないデシリアライズ処理／不適切なアクセス制御に関する問題が含まれる。

Veeam の脆弱性 CVE-2024-40711 は、信頼できないデータのデシリアライズを通じて、未認証の攻撃者によるリモートコード実行を可能にする欠陥であり、CVSS スコアは 9.8 で、深刻度は Critical と評価されている。一方、脆弱性 CVE-2024-40766 は SonicWall SonicOS の管理アクセスに影響を及ぼし、不正なアクセスを可能にする欠陥であり、特定の条件下ではファイアウォールのクラッシュを引き起こす恐れがある。

侵入に成功した攻撃者たちは、新たなアカウントの作成や既存アカウントの窃取を通じて、管理者権限への継続的なアクセスを確保した上で、正規の管理ユーティリティを悪用する攻撃活動を、企業の日常業務に紛れ込ませている。PsExec／Windows Remote Management／Remote Desktop Protocol が、コマンドの実行やネットワーク内での横展開に使用されている。また、「ShareFinder.ps1」と「SharpShares.exe」はネットワーク共有を一覧化し、データの持ち出しや暗号化に先立って、価値の高い情報を特定するために悪用されている。

CISA によると、SafePay の攻撃者たちの戦術は、漏えいした認証情報／フィッシング／ブルートフォース攻撃などであり、インターネットからアクセス可能な脆弱なシステムを通じて侵入に成功している。

SafePay ランサムウェアの攻撃手法と被害

調査担当者が、権限昇格の手法として確認したものには、ユーザー・アカウント制御 (UAC) の回避やトークンのなりすましも含まれる。SafePay の攻撃者は、セキュリティ・ソフトウェアを無効化し、場合によってはユーザーのパスワードを変更して正規ユーザーのアクセスを妨害する。さらに、ソフトウェアのパッキングや仮想マシンを悪用することで悪意のコードを隠蔽し、AnyDesk や TeamViewer などのリモートアクセス・アプリケーションを、ランサムウェアや攻撃支援ツールの展開に悪用している。

データの窃取には WinSCP や RClone が使われており、一部の侵害事例では OneDrive の使用も確認されている。また、7-Zip や WinRAR などのユーティリティで作成したアーカイブが、データを持ち出す前の一時的な集約に悪用されており、「b2.exe」を介して Backblaze B2 にデータを持ち出した事例も報告されている。

特に重大なのは、攻撃者による復旧妨害である。攻撃者は Volume Shadow Copy Service を停止し、バックアップを保存しているネットワーク接続ストレージ (NAS) を工場出荷時の状態にリセットしている。ネットワークに接続されたバックアップが、すべて削除された事例についても、調査担当者は報告している。このような事例では、身代金交渉が始まる前にデータの復元手段が失われていた。

SafePay ランサムウェアは、データを持ち出した後に、ChaCha20 と RSA を悪用してファイルを暗号化するが、ファイルの特性に応じて全体を暗号化する方式と一部のみを暗号化する方式を使い分けている。暗号化されたファイルには「.SafePay」という拡張子が付与される。また、身代金要求文には、被害者固有の識別子を使って、Tor 上のチャットポータルにアクセスするよう記載されている。

身代金の要求額は、被害企業の売上高に基づいて設定されることがある。その際には、暗号資産での支払いが求められ、攻撃グループのメンバーが被害者に電話をかけて圧力を強めることもある。また、支払いが行われない場合には、同グループのサイト上に、窃取された情報が公開される可能性がある。

ユーザー組織に対して CISA が求めるのは、インターネットに公開されたシステムに存在する、悪用が確認された脆弱性への対応を優先することである。その上で、多要素認証 (MFA) の適用／管理者権限の制限／ネットワークの分割を実施するよう強く推奨している。業務への影響を最小限に抑えるには、暗号化と改ざん防止の措置を施したバックアップをオフラインで保管し、定期的に復元テストを実施することが重要である。

防御側にとって必要なことは、予期しないアカウントの作成／リモート管理操作／セキュリティ・サービスの設定変更／外部への異常なデータ転送などの調査である。CISA のアドバイザリでは、ダウンロード可能な STIX 形式の脅威情報データも提供されている。ただし、過去に使用された正規のツールや IP アドレスを根拠に、検知と遮断を実施する場合は、状況に応じた検証が必要になる。

侵害を検出した組織は、影響を受けたホストを隔離し、調査に必要な証拠を保全した上で、侵害されたアカウントの範囲を特定し、攻撃者を排除するための対応を進める必要がある。

侵害の痕跡 (IoC)
IP AddressDescription
104.26.2[.]223SafePay victim intrusion
140.82.114[.]4SafePay victim intrusion
185.199.108[.]133SafePay victim intrusion
77.37.49[.]40SafePay victim intrusion
173.194.194[.]94Hosting victim data

注： IP アドレスとドメインは、意図しない名前解決やハイパーリンク化を防止するため、意図的に無効化された表記 (例：[.]) が使用されている。元の表記に戻す操作は、MISP、VirusTotal、SIEM など、管理された脅威インテリジェンスプラットフォーム内でのみ実施すること。

SafePay ランサムウェアに関連する、複数の重要インフラ組織の侵害やバックアップシステムの破壊という問題では、Veeam／SonicWall SonicOS／Backblaze B2 などの脆弱性が悪用されています。一連の攻撃により、データの窃取や暗号化だけでなく、復旧手段が損なわれるという影響が生じています。インターネットに公開されたシステム上での、危険性の高い脆弱性への対応／多要素認証の適用／管理者権限の制限／ネットワークのセグメント化／オフライン保管されたバックアップ／復元手順の定期的検証などが求められます。