Americké a európske bezpečnostné úrady vydali spoločné varovanie pred ransomvérovou skupinou SafePay. Podľa poradenského dokumentu, ktorý 20. októbra 2026 zverejnili americká agentúra CISA, FBI a Tajná služba USA spolu s nemeckou a britskou políciou, má skupina na svedomí útoky na najmenej 600 organizácií v Severnej a Južnej Amerike, Európe a Austrálii. Nejde len o šifrovanie súborov: útočníci sa cielene snažia zničiť aj zálohy, aby obeť nemala inú možnosť ako zaplatiť.

Kto je SafePay a ako útočí

Skupina sa objavila v auguste 2024 a podľa úradov funguje ako uzavretá skupina, ktorá na rozdiel od mnohých iných gangov nenajíma „partnerov“ na vykonávanie útokov. Údaje v dokumente pochádzajú z vyšetrovaní incidentov od novembra 2024 do augusta 2026. Číslo 600 je navyše len spodná hranica – na stránke, kde útočníci zverejňujú ukradnuté dáta, figurujú iba obete, ktoré odmietli zaplatiť.

Vstup do siete: heslá a neopravené zariadenia

Útočníci sa do firiem nedostávajú žiadnou exotickou technikou. Využívajú uniknuté prihlasovacie údaje, skúšanie hesiel hrubou silou, účty získané phishingom a známe zraniteľnosti v zariadeniach dostupných z internetu. Úrady menovite uvádzajú päť zraniteľností: dve vo firewalloch Cisco ASA/FTD, jednu v systéme SonicWall SonicOS a – čo je pre tému ochrany dát najdôležitejšie – dve v zálohovacom softvéri Veeam Backup & Replication (CVE-2023-27532 a CVE-2024-40711). Na všetky tieto chyby už výrobcovia vydali opravy; problém sú systémy, ktoré ich dodnes nemajú nainštalované.

Najprv ukradnúť, potom zašifrovať

Po prieniku sa útočníci pohybujú sieťou pomocou bežných administrátorských nástrojov (napríklad PsExec či vzdialená plocha), vypínajú bezpečnostný softvér a hľadajú zdieľané priečinky. Citlivé dáta zabalia do archívov a odošlú do cloudových úložísk. Až potom spustia šifrovanie – súbory dostanú príponu .SafePay. Ide o tzv. dvojité vydieranie: aj keď sa firma dokáže obnoviť, zostáva hrozba zverejnenia ukradnutých údajov. Podľa správ útočníci obete dokonca telefonicky kontaktujú, aby zvýšili tlak.

Prečo je tento prípad mimoriadne nebezpečný pre zálohy

Najznepokojivejšou časťou varovania je spôsob, akým SafePay znemožňuje obnovu. Útočníci:

• mažú tieňové kópie Windows (Volume Shadow Copies), ktoré mnohí používatelia považujú za „záchranu“ po nechcenej zmene súborov,
• resetujú NAS zariadenia so zálohami do továrenských nastavení – teda nemažú jednotlivé súbory, ale vymažú celé úložisko naraz,
• v niektorých prípadoch odstránili všetky zálohy pripojené k firemnej sieti ešte predtým, ako sa začalo vyjednávať o výkupnom.

Zároveň sa ukazuje, že cieľom je aj samotný zálohovací server. Ak útočník ovládne konzolu, ktorá zálohy spravuje, môže ich zmazať, zmeniť ich nastavenia alebo ich použiť ako bránu hlbšie do siete. Záloha, ktorá je trvalo pripojená a dostupná z rovnakej siete ako produkčné systémy, je pre takýto útok len ďalší disk na vymazanie.

Čo to znamená pre bezpečnosť a obnovu dát

Z pohľadu obnovy dát je dôležité rozlišovať dva scenáre. Zašifrované súbory bez kľúča útočníkov spravidla obnoviť nemožno – moderné šifrovanie (SafePay podľa správ používa kombináciu ChaCha20 a RSA) sa prelomiť nedá. Úrady zároveň pripomínajú, že ani zaplatenie výkupného nezaručuje, že dáta dostanete späť. Iná situácia nastáva pri vymazaných alebo resetovaných úložiskách: ak disky po resete NAS-u neboli prepísané novými dátami, časť obsahu sa v niektorých prípadoch dá odborne zrekonštruovať. Šanca však rýchlo klesá s každou ďalšou operáciou nad diskom.

Praktické rady pre firmy aj domácnosti

• Dodržiavajte pravidlo 3-2-1: tri kópie dát, na dvoch rôznych typoch médií, z toho jedna mimo firmy alebo offline.
• Aspoň jedna záloha musí byť odpojená alebo nemenná (immutable) – externý disk, ktorý po zálohovaní odpojíte, páska alebo cloudové úložisko so zámkom proti zmazaniu.
• Aktualizujte zálohovací softvér, VPN a firewally ako prvé. Práve tieto systémy útočníci skenujú automaticky.
• Chráňte prístup k zálohám: samostatné účty, viacfaktorové overenie, žiadne zdieľanie hesla s doménovým administrátorom.
• Pravidelne skúšajte obnovu. Záloha, z ktorej ste nikdy nič neobnovili, je len predpoklad, nie istota.
• Sledujte varovné príznaky: neznáme administrátorské účty, vypnutý antivírus, nečakane veľké odchádzajúce prenosy dát či zmiznuté tieňové kópie.

Čo nerobiť, ak už k útoku došlo

• Nevypínajte a nepreinštalovávajte systémy narýchlo – odpojte ich od siete a zachovajte stopy pre vyšetrovanie.
• Na resetovaný NAS ani na disky so zmazanými zálohami nič nezapisujte, neinicializujte ich znovu a nespúšťajte opravu poľa.
• Nepúšťajte na postihnuté disky voľne dostupné „obnovovacie“ programy – môžu prepísať práve tie oblasti, z ktorých by sa dalo ešte niečo zachrániť.
• Incident nahláste – na Slovensku Národnému bezpečnostnému úradu (SK-CERT) a polícii.

Záver

Prípad SafePay potvrdzuje trend, o ktorom na tomto blogu píšeme opakovane: útočníci už nejdú len po dátach, ale cielene po zálohách. Firma, ktorá má jedinú zálohu na NAS-e v tej istej sieti, je pri takomto útoku v rovnakej pozícii ako firma bez zálohy. Oddelená, nemenná a overená záloha je dnes nutnosť, nie nadštandard.

Ak ste prišli o dáta – či už po útoku, resetovaní NAS-u alebo poruche disku – kontaktujte odborníkov na www.zachranaudajov.sk. Neskúšajte svojpomocné opravy, ktoré môžu poškodenie zhoršiť a znížiť šancu na úspešnú obnovu.

Zdroj: BleepingComputer – CISA: SafePay ransomware hit over 600 critical infrastructure orgs; CISA – poradenský dokument AA26-293A