SafePay, une enseigne plus redoutable qu’il n’y paraît ?

L’agence américaine de la cybersécurité et de la sécurité des infrastructures (Cisa) vient de publier une note d’information sur l’enseigne de rançongiciel SafePay avec, notamment, des marqueurs techniques très récents, certains datant tout juste du mois d’août, et l’indication de l’usage, parfois, de OneDrive pour l’exfiltration de données.

À cela, la note ajoute un chiffre : 600. Selon la Cisa, c’est l’estimation basse du nombre de victimes attribuables à SafePay, représentant « plusieurs secteurs d’importance vitale ».

Le site vitrine de SafePay a été découvert mi-novembre 2024, mais ses activités remontent au moins au mois d’août précédent. 594 victimes y ont été revendiquées à ce jour. Le 31 octobre 2025, une cyberattaque faisait tomber les systèmes de suivi de livraison du logisticien Nisa, partenaire de DHL au Royaume-Uni. D’autres allaient être affectés par un incident touchant en fait l’éditeur Microlise. À la manœuvre, dans les deux cas, des affidés de SafePay.

Si la Cisa considère l’enseigne comme l’une des plus « actives en 2026 », le volume de ses revendications donne une image différente : il a connu un pic en décembre 2025 avec plus de 50 victimes épinglées, mais il dépasse aujourd’hui laborieusement les 30 par mois. Et encore, quand ce chiffre est atteint.

Sur les douze derniers mois, on compte un peu plus de 250 revendications sous la bannière de SafePay, loin, très loin derrière Qilin (environ 1450), The Gentlemen (environ 840), Akira, INC Ransom, DragonForce, LockBit5 ou encore Play.

Reste que les revendications sous la marque SafePay arrivent parfois avec un retard conséquent. Nous avons ainsi pu observer tout récemment des délais allant jusqu’à deux mois pour certaines victimes. C’était même la moyenne pour celles revendiquées en avril dernier. Il ne peut donc être exclu que des victimes attaquées en août ou septembre n’aient pas encore été revendiquées. Et à cela, il convient bien sûr d’ajouter celles qui ne seront jamais revendiquées en raison d’un paiement de rançon, notamment.

Surtout, l’enseigne SafePay n’est pas une marque isolée dans le monde du ransomware. À l’automne dernier, Yelisey Boguslaskiy, de RedSense, indiquait que Safepay dispose de relations étroites avec les anciens de Nokoyawa, mais aussi les équipes de Play, Akira, Qilin et BlackSuit. L’enseigne aurait « siphonné les talents d’autres groupes » et leur « compétition est devenue la principale raison de la dissolution de Black Basta à l’automne 2024 ». Et pour lui Safepay ferait en outre partie d’une « triade plus large avec Lynx et INC ».

Plusieurs indices à notre disposition depuis plusieurs mois confortent cette affirmation : INC Ransom, Lynx et Safepay semblent avoir beaucoup en commun, au point que certains membres de cette triade se font des rappels pour savoir sous quelle marque revendiquer leurs victimes.

Au printemps, nous comptions 33 victimes revendiquées chez INC Ransom et Lynx vraisemblablement imputables au même acteur, 25 à un second ayant officié pour INC et Safepay, 10 à un troisième lié à ces deux mêmes marques, et 3 à un quatrième, impliquant INC et Lynx. Le second acteur avait déjà publié 18 revendications chez INC Ransom et 7 chez Safepay.

Et justement, INC Ransom est l’une des enseignes les plus actives du moment. Avec plus de 450 victimes revendiquées au cours des 12 derniers mois, à fin septembre, elle se classe en quatrième position derrière Akira.