SafePay 勒索軟體害 600 家受害：CISA、FBI 聯合五國發布警告
美、德、英執法單位 10 月 20 日發布聯合公告 AA26-293A：SafePay 自 2024 年 8 月起鎖定關鍵基礎設施，先偷資料、毀備份再加密，入侵主力是外洩帳密與邊緣設備漏洞。
美國網路安全暨基礎設施安全局（CISA）週二發布重磅警告：勒索軟體組織 SafePay 今年已造成約 600 家受害者，遍及美洲、歐洲、澳洲的多個關鍵基礎設施領域，是 2026 年最活躍的勒索軟體集團之一。這份 10 月 20 日發布的聯合公告（編號 AA26-293A）由 FBI、美國特勤局、德國與英國執法單位共同撰寫。
三段式勒索：偷資料、毀備份、再加密
SafePay 自 2024 年 8 月開始活動，手法是標準的三重勒索升級版：先用外洩或釣魚取得的帳密、暴力破解、或直接打網際網路上面向外的設備漏洞進來；進來後建立管理員帳號、用 PsExec、WinRM、RDP 等「合法管理工具」橫向移動（讓惡意行為混在日常維運裡）；接著用 WinSCP、RClone、OneDrive、Backblaze B2 把資料偷出去；加密之前還先動手毀掉復原手段——停掉 Volume Shadow Copy Service，甚至把 NAS 備份設備重置回原廠設定。
FBI 網路部門助理主任 Brett Leatherman 說：「SafePay 已經在全球多個關鍵基礎設施領域鎖定超過 600 名受害者。」部分案例中，攻擊者甚至會直接打電話給受害者施壓。
五個被利用的漏洞，邊緣設備是破口
公告點名五個被 SafePay 實際利用的漏洞：CVE-2020-3259、CVE-2023-20269、CVE-2023-27532、CVE-2024-40711、CVE-2024-40766，涵蓋防火牆、VPN 與備份產品。其中 CVE-2024-40711 是 CVSS 9.8 的重大漏洞，可透過反序列化未受信任資料達成未授權遠端程式碼執行。
官方建議清單很直接：暴露在外的系統優先修補、強制多因素驗證、最小權限、網段隔離，以及——最重要的——維護經過測試的離線、不可變備份。
台灣企業該做的三件事
這份公告對台灣中小企業特別有參考價值，因為 SafePay 的入侵路徑正是台灣常見的弱點組合：外洩帳密重複使用、VPN 沒開 MFA、邊緣設備（防火牆、NAS）韌體沒更新。建議立刻檢查：第一，所有對外服務的帳號是否都開了 MFA；第二，防火牆與 VPN 設備韌體是否在最新版；第三，備份是不是真的「離線」——如果備份 NAS 跟主機在同一個網段還 24 小時開機，那跟沒備份差不多。
資安的基本功跟銷售數據一樣，都是「平時看不見、出事才後悔」的東西。企業把營運數字交給看店勢這類雲端工具分析時，也該用同樣的標準要求服務商：資料有沒有異地備份、存取有沒有 MFA、權限是不是最小化——把這些問清楚，再談功能。
資料來源
- Reuters（經 KELO-FM）：SafePay ransomware group has targeted hundreds this year, US agencies say（2026-10-20）
- GBHackers：CISA Warns SafePay Ransomware Has Hit 600+ Organizations and Destroyed Backup Systems（2026-10-21）
- London Daily News：CISA issues joint SafePay ransomware advisory after more than 600 victims reported（2026-10-21）