Pular para o conteúdo
Data Rescue
Notebook isolado da rede e cadeado representando dados criptografados, ilustração conceitual

Ransomware · Grupos

Ransomware SafePay: arquivos .safepay, backups e próximos passos

SafePay é um grupo de ransomware ativo desde agosto de 2024 que, segundo alerta da CISA e do FBI de 20 de outubro de 2026, atingiu ao menos 600 vítimas. Os arquivos ganham a extensão .safepay e a nota se chama readme_safepay.txt. O grupo entra com senhas roubadas e falhas em VPN e firewall, e já apagou backups guardados em NAS. Isole o ambiente com a equipe de resposta. A Data Rescue avalia discos e NAS, sem promessa de desbloqueio.

Iniciar recuperaçãoPerguntas frequentes

Orçamento por escrito antes de qualquer trabalho. Nada começa sem o seu OK.

O diagnóstico é grátis. Se você quiser um prazo menor, a análise paga tem valor fixo, informado antes de você entregar o dispositivo. A análise comum leva de 02 a 48 horas; depois vêm o laudo e o orçamento, os dois por escrito.

Como cobramos

Ficha rápida

Alerta oficial
AA26-293A, de 20/10/2026: CISA, FBI, Serviço Secreto dos EUA e polícias da Alemanha e do Reino Unido
Visto desde
agosto de 2024; a Huntress registrou os primeiros casos em outubro de 2024
Modelo
o alerta não detalha; pesquisadores avaliam que é um grupo fechado, sem programa de afiliados
Sistemas atingidos
o alerta descreve ferramentas de Windows e Active Directory; não cita Linux nem ESXi
Entrada relatada
senhas vazadas ou adivinhadas, phishing, VPN e falhas em Cisco ASA/FTD, SonicWall e Veeam (CVE-2020-3259, CVE-2023-20269, CVE-2024-40766, CVE-2023-27532, CVE-2024-40711)
Extorsão
dupla, com telefonemas para pressionar a empresa
Sinais públicos
extensão .safepay; nota readme_safepay.txt na área de trabalho ou na raiz do disco

O que o alerta de outubro de 2026 informa

O alerta AA26-293A foi publicado em 20 de outubro de 2026 pela CISA, pelo FBI e pelo Serviço Secreto dos EUA, com a polícia do estado alemão da Renânia-Palatinado e a NCA britânica, entre outros. Ele conta ao menos 600 vítimas desde agosto de 2024, em vários setores. Os invasores entram com credenciais expostas, força bruta e phishing, e exploram falhas conhecidas em aparelhos de borda e servidores expostos à internet.

Depois de entrar, o grupo copia os dados e criptografa com ChaCha20 e RSA, de forma completa ou parcial conforme o tipo e o tamanho do arquivo. Se a empresa não paga, publica os dados no site do grupo. Um representante chega a telefonar para a vítima para pressionar.

O ataque aos backups e ao NAS

O alerta registra que os invasores param o serviço de cópias de sombra do Windows e, em alguns casos, devolveram às configurações de fábrica os NAS que guardavam backups, além de apagar backups em rede. Esse detalhe importa: a restauração de fábrica e a exclusão nem sempre sobrescrevem tudo o que estava nos discos.

Se um NAS de backup foi zerado, desligue-o e não crie volumes novos nem copie nada para ele. Cada gravação reduz o que ainda pode ser lido. A avaliação dos discos mostra se restaram estruturas de volumes e arquivos de backup anteriores ao ataque.

Descriptografia e o papel da Data Rescue

Segundo o alerta, sem a chave do grupo os dados criptografados não podem ser recuperados, e as agências não incentivam o pagamento. Até outubro de 2026, não há ferramenta pública reconhecida para o SafePay; a equipe de resposta pode conferir no No More Ransom. A Huntress encontrou no programa muita semelhança com código vazado do LockBit.

A Data Rescue não negocia com o grupo, não faz contenção e não faz perícia. Com o ambiente isolado, você descreve o caso e combinamos o envio por escrito, antes de qualquer remessa. Avaliamos discos de servidores, de NAS e de backup, incluindo repositórios do Veeam.

Como reconhecer o SafePay

  • Arquivos com a extensão .safepay e uma nota readme_safepay.txt na área de trabalho ou na raiz do disco.
  • NAS de backup que aparece zerado, com configurações de fábrica, sem ninguém da TI ter feito isso.
  • Telefonemas de alguém que diz representar o grupo e cita dados copiados da empresa.
  • Serviço de cópias de sombra do Windows parado.
  • Logins de VPN com contas válidas em horários incomuns, às vezes a partir de serviços de VPN comerciais.

O que não fazer

  • Pagar o resgate sem orientação jurídica e de segurança: o alerta diz que o pagamento não garante a recuperação.
  • Reconfigurar, inicializar ou criar volumes no NAS que voltou às configurações de fábrica.
  • Atender sozinho às ligações do grupo ou prometer pagamento.
  • Restaurar backups em servidores ainda acessíveis pela VPN comprometida.
  • Apagar a nota readme_safepay.txt ou renomear os arquivos .safepay.

O que fazer agora

01

Isole com a resposta a incidentes

Desconecte da rede os servidores e estações atingidos, seguindo a orientação da equipe responsável.
02

Desligue o NAS zerado

Se o NAS de backup voltou às configurações de fábrica, desligue-o e não o configure de novo. Configurar cria volumes que gravam por cima dos dados antigos.
03

Revise acessos e borda

A equipe troca senhas, ativa MFA e aplica correções em VPN, firewall e servidor de backup antes de religar qualquer acesso remoto.
04

Registre os contatos do grupo

Anote data e número dos telefonemas e guarde os e-mails recebidos. Repasse tudo ao jurídico e à equipe de resposta, sem conversar com o grupo por conta própria.
05

Trate dados pessoais

Cabe ao controlador, com apoio jurídico, decidir sobre a comunicação à ANPD e aos titulares nos termos da Resolução CD/ANPD nº 15/2024.
06

Descreva o caso

Informe à Data Rescue quais servidores, NAS e discos de backup foram atingidos. O envio é combinado por escrito.
Perguntas frequentes

Perguntas sobre
SafePay.

Respostas curtas para as dúvidas mais comuns deste tipo de caso.

O SafePay atua com afiliados?
O alerta da CISA não detalha o modelo. Pesquisadores ouvidos pela imprensa especializada avaliam que é um grupo fechado, sem programa de afiliados. Isso não muda os primeiros passos: isolar, preservar e proteger os backups.
Dá para recuperar backups de um NAS restaurado de fábrica?
Às vezes. A restauração de fábrica e a exclusão nem sempre apagam os dados dos discos. Depende do modelo, do que foi feito depois e de novas gravações. Desligue o NAS e peça avaliação antes de mexer, sabendo que não há promessa de resultado.
Existe descriptografador público para o SafePay?
Não conhecemos ferramenta pública reconhecida até outubro de 2026, e o alerta afirma que sem a chave os dados não podem ser recuperados. Consulte o No More Ransom com a equipe de resposta.
Quanto custa avaliar?
O valor depende do que precisa ser analisado. Orçamento por escrito antes de qualquer trabalho. Nada começa sem o seu OK. O diagnóstico é grátis. Se você quiser um prazo menor, a análise paga tem valor fixo, informado antes de você entregar o dispositivo.

Leia também

Fontes

Conteúdo editorial da Data Rescue, atualizado em 29/10/2026. Orientação geral: não substitui a avaliação do dispositivo, a resposta a incidentes nem orientação jurídica. Veja a política editorial.

Antes de tentar sozinho, conte o que aconteceu.

Orçamento por escrito antes de qualquer trabalho. Nada começa sem o seu OK.

Iniciar recuperaçãoEntenda o processo