FBI varoittaa SafePay-kiristyshaittaohjelmasta – uhrilistalla 16 suomalaista organisaatiota
Yhdysvaltain ja Euroopan viranomaiset nimesivät ryhmän uhkaksi, ja vaikka Kyberturvallisuuskeskus ei ole julkaisemisesta tiedottanut, riippumaton seuranta listaa suomalaisuhrit.
Tiivistelmä
FBI, CISA, Yhdysvaltain Secret Service sekä Saksan ja Britannian viranomaiset julkaisivat 20. lokakuuta yhteisen varoituksen SafePay-kiristyshaittaohjelmasta, joka on iskenyt elokuusta 2024 elokuuhun 2026 ainakin 600 uhriin. Suomesta ei ole julkaistua viranomaistiedotetta, mutta riippumaton ransomware.live-seurantasivusto listaa 16 suomalaista uhriorganisaatiota. Varoitus nimeää viisi haavoittuvuutta, joiden korjaaminen on tärkein yksittäinen suojauskeino.
Kuusi viranomaista viidestä maasta allekirjoitti saman varoituksen. Tuloksena on yksi kiristyshaittaohjelmaryhmä, jonka jäljet löytyvät myös Suomesta.
FBI, Yhdysvaltain kyberturvallisuusvirasto CISA ja Secret Service julkaisivat 20. lokakuuta yhdessä Saksan Rheinland-Pfalzin osavaltion rikospoliisin ja Britannian kansallisen rikosvirasto NCA:n kanssa tiedotteen AA26-293a. Se nimeää SafePayn yhdeksi vuoden 2026 aktiivisimmista kiristyshaittaohjelmaoperaatioista.
Tiedote kattaa kahden vuoden jakson. Elokuusta 2024 elokuuhun 2026 SafePay on iskenyt vähintään 600 erilliseen uhriin, FBI:n ja kumppaniviranomaisten tiedotteen mukaan.
Lukuhaarukka vaihtelee lähteestä riippuen. Ransomwarewire-seurantapalvelu laski noin 400 uhria, Flare noin 500 ja vuotosivuston laskenta 593 uhria 12. lokakuuta mennessä. Erot selittyvät mittausajankohdalla ja -tavalla, ei ristiriidalla.
Näin ryhmä toimii
CISA:n ja FBI:n tiedotteessa kerrotaan, että SafePay-toimijat vakiinnuttavat jalansijan hankkimalla pääkäyttäjäoikeudet olemassa oleviin tai itse luomiinsa tileihin.
Verkossa liikkumiseen ryhmä käyttää tavallisia ylläpitotyökaluja: PsExeciä, WinRM:ää ja etätyöpöytäyhteyttä RDP:tä. Tiedon varastamiseen käytetään FileZillaa, 7-Zipiä, RClonea ja WinRARia.
Painostuskeinoihin kuuluu myös puhelinsoitto. Ryhmän edustaja soittaa uhrille kiristyshaittaohjelmaryhmän puolesta, tiedotteessa kerrotaan.
Turvallisuusyhtiö Halcyon on havainnut, että SafePayn haittaohjelmakoodi muistuttaa laajalti vuodettua LockBit Blackin lähdekoodia, komentoriviparametreja myöten. LockBit on nykyisin suurelta osin lamaantunut ryhmä, jonka infrastruktuuria viranomaiset ovat iskeneet aiemmin.
Viisi tunnettua reittiä sisään
Tiedotteessa nimetään viisi haavoittuvuutta, joita SafePay on käyttänyt tunkeutumiseen ja joista kaikki löytyvät CISA:n tunnettujen hyödynnettyjen haavoittuvuuksien luettelosta.
Cisco ASA- ja FTD-laitteissa kyse on CVE-2020-3259:stä ja CVE-2023-20269:stä. Veeam Backup & Replication -ohjelmistossa haavoittuvuudet ovat CVE-2023-27532 ja CVE-2024-40711. SonicWallin SonicOS-käyttöjärjestelmässä reitti kulkee CVE-2024-40766:n kautta.
Turvallisuusyhtiöt Huntress ja Blackpoint Cyber ovat kuvanneet samoihin tuotteisiin kohdistuneita SafePay-tunkeutumisia omissa katsauksissaan, mikä tukee tiedotteen havaintoja.
Vakavin tunnettu tapaus koskee miljoonia yhdysvaltalaisia
SafePayn uhrilistalla on aiemmin ollut muun muassa Ingram Micro, brittiläinen ohjelmistoyhtiö Microlise ja yhdysvaltalainen julkishallinnon palveluntarjoaja Conduent.
Conduent-tapaus on näistä vakavin. Tietomurto kesti 21.10.2024–13.1.2025, sen yhteydessä vuodettiin 62,2 miljoonan ihmisen tietoja, muun muassa sosiaaliturvatunnuksia ja terveystietoja, ja SafePay väitti varastaneensa näistä järjestelmistä yhteensä 8,5 teratavua aineistoa.
Conduent ylläpitää järjestelmiä, joita käytetään Yhdysvaltain Medicaid-, lapsituki-, ruoka-apu- ja tiemaksuohjelmissa.
Mediatietojen mukaan uhrien ryhmäkanne johti 80 miljoonan dollarin sovintoon, joka jätettiin New Jerseyn liittovaltion tuomioistuimeen perjantaina 16.10.2026.
Suomesta puuttuu virallinen varoitus, mutta ei uhreja
Kyberturvallisuuskeskus ei ole julkaissut SafePaystä omaa tiedotetta tai varoitusta.
Riippumaton ransomware.live-seurantasivusto listaa silti 16 suomalaista uhriorganisaatiota, joiden joukossa on esimerkiksi saiedu.fi ja pzsarchitects.com. Ruotsista sivusto listaa 146 uhria ja Tanskasta yhden.
Tunnettu uhka on jo ehtinyt Suomeen ennen kotimaista varoitusta.
Tunnistusmerkit
Epäilyttävä PsExec-, WinRM- tai RDP-liikenne tavanomaisten työaikojen ulkopuolella voi olla merkki tunkeutumisesta. Samoin AnyDesk- tai TeamViewer-yhteydet, joita IT-ylläpito ei tunnista omikseen.
Suuret, selittämättömät tiedostosiirrot FileZillalla, RClonella tai pakatut arkistot, joita ei ole tehnyt kukaan tunnettu käyttäjä, viittaavat tiedon varastamiseen ennen varsinaista lukitusta.
Puhelinsoitto, jossa soittaja väittää edustavansa kiristysryhmää ja painostaa maksamaan, on osa SafePayn tunnettua toimintamallia.
Mitä tehdä
Internetiin näkyvät Cisco ASA- ja FTD-laitteet, Veeam Backup & Replication -asennukset ja SonicWallin SonicOS-laitteet kannattaa päivittää välittömästi viiden mainitun haavoittuvuuden osalta.
Monivaiheinen tunnistautuminen on pakollinen kaikille etäyhteystileille, erityisesti VPN- ja ylläpitotileille. IT-ylläpidon kannattaa seurata PsExecin, WinRM:n, AnyDeskin ja TeamViewerin käyttöä ja selvittää poikkeava aktiivisuus heti.
Varmuuskopioiden pitää olla offline-tilassa ja muuttumattomia, jotta ne säilyvät käytettävinä myös onnistuneen tunkeutumisen jälkeen.
Suomalainen organisaatio voi ilmoittaa epäillystä tapauksesta Kyberturvallisuuskeskukselle osoitteessa ilmoita.kyberturvallisuuskeskus.fi, vaikka erillistä kotimaista SafePay-tiedotetta ei toistaiseksi ole.
Lähteet
- CISA/FBI Advisory AA26-293a (20.10.2026)
- ransomware.live (21.10.2026)
- Halcyon.ai (20.10.2026)
- Ransomwarewire (20.10.2026)
- Flare (20.10.2026)
- Huntress (20.10.2026)
- Blackpoint Cyber (20.10.2026)