SafePay pone en la mira a la Universidad Autónoma de Aguascalientes con un ataque de ransomware, relacionado con el malware infostealer Cavalier
Imagen: AdadiaCarbon | https://www.deviantart.com/adadiacarbon
Por Víctor Ruiz, fundador de SILIKN, CyberOps Associate (CCNA CyberOps), CompTIA Security+ ce Certification, Instructor Certificado en Ciberseguridad (CSCT™), NIST Cybersecurity Framework 2.0 Certified Expert (CSFE), (ISC)² Certified in Cybersecurity℠ (CC), EC-Council Ethical Hacking Essentials (EHE) Certified, EC-Council Certified Cybersecurity Technician (CCT), Ethical Hacking Certified Associate (EHCA), Cisco Ethical Hacker & Cisco Cybersecurity Analyst, Coordinador de la Subcomisión de Ciberseguridad de COPARMEX Querétaro y Líder del Capítulo Querétaro de la Fundación OWASP.
- La institución educativa mexicana fue incorporada al sitio de filtraciones del grupo cibercriminal SafePay. Se advierte sobre la exposición de más de 1,300 usuarios, 531 empleados y 536 credenciales pertenecientes a trabajadores de terceros, presuntamente comprometidas mediante un infostealer.
La Universidad Autónoma de Aguascalientes (UAA), institución pública de educación superior en México, habría sido víctima de un ataque de ransomware perpetrado por el grupo cibercriminal SafePay, que el 26 de octubre de 2026 incorporó el dominio institucional uaa.mx a su sitio de filtraciones de información (data leak site).
De acuerdo con un análisis de la unidad de investigación de SILIKN, el incidente fue identificado el mismo día de su publicación y estaría relacionado con una infección previa del malware de robo de información conocido como Cavalier.
El análisis señala que la actividad maliciosa habría provocado la exposición de un volumen considerable de información relacionada con cuentas y credenciales de acceso. Entre los datos identificados se encuentran 1,375 usuarios comprometidos, 531 empleados afectados y 536 credenciales asociadas con trabajadores de terceros. Asimismo, el análisis reporta una superficie de ataque externa de 156 elementos, aunque no precisa el detalle de los activos contabilizados ni confirma que todos hayan sido vulnerados.
Una infección de Cavalier como posible puerta de entrada
Uno de los aspectos más relevantes del incidente es la posible relación entre el ataque de ransomware y una infección previa del malware Cavalier, una familia de infostealers diseñada para sustraer información confidencial de los dispositivos infectados. Este tipo de amenazas puede recopilar contraseñas almacenadas en navegadores, cookies de sesión, credenciales de servicios corporativos y otros datos que posteriormente pueden ser utilizados para acceder de manera ilegítima a sistemas y plataformas institucionales.
De acuerdo con el análisis publicado, la exposición de credenciales de empleados y colaboradores externos representa un riesgo considerable, ya que podría facilitar el acceso no autorizado a los sistemas internos de la universidad, permitir movimientos laterales dentro de su infraestructura tecnológica y facilitar el despliegue de herramientas de ransomware. Este escenario evidencia cómo una infección aparentemente aislada en un dispositivo puede convertirse en el punto de partida de un incidente de seguridad de mayor alcance.
SafePay y su actividad contra organizaciones
El grupo SafePay es un operador de ransomware que utiliza tácticas de doble extorsión, mediante las cuales los atacantes no solamente buscan cifrar los sistemas de sus víctimas, sino también sustraer información confidencial para amenazar con su publicación si no se cumplen sus exigencias económicas.
La actividad de este grupo ha sido objeto de advertencias por parte de organismos internacionales. El 20 de octubre de 2026, la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA), junto con el FBI y otras agencias internacionales, publicó un aviso conjunto en el que señaló que SafePay había afectado al menos a 600 organizaciones desde agosto de 2024, incluyendo empresas y entidades de sectores de infraestructura crítica.
Entre sus principales métodos de acceso inicial se encuentran el uso de credenciales comprometidas, ataques de fuerza bruta, explotación de vulnerabilidades en dispositivos expuestos a internet y campañas de phishing. Una vez dentro de las redes, los operadores pueden utilizar herramientas legítimas para desplazarse por los sistemas, localizar información de interés, deshabilitar mecanismos de protección y ejecutar sus operaciones de cifrado y extracción de datos.
Riesgos y recomendaciones de seguridad
La posible exposición de credenciales asociadas con empleados, estudiantes y proveedores representa un riesgo que trasciende el incidente inicial, debido a que las cuentas comprometidas podrían continuar siendo utilizadas para acceder a servicios institucionales incluso después de contener la infección original.
Ante esta situación, resulta fundamental que la Universidad Autónoma de Aguascalientes realice una investigación técnica para determinar el alcance real de la intrusión, identifique los sistemas potencialmente afectados y revise los registros de autenticación para detectar accesos sospechosos. Entre las principales medidas de contención se encuentran el restablecimiento de contraseñas, la revocación de sesiones activas y tokens de autenticación, así como la implementación obligatoria de autenticación multifactor (MFA).
También se recomienda realizar un análisis forense de los equipos de empleados y colaboradores externos, fortalecer las soluciones de detección y respuesta en endpoints (EDR), revisar los mecanismos de acceso remoto y reforzar los controles de seguridad para proveedores y terceros con acceso a la infraestructura institucional.
Hasta el momento, la información disponible corresponde a reportes de inteligencia de amenazas y a la reclamación publicada por el grupo cibercriminal. No se cuenta con una confirmación pública independiente de la universidad sobre el alcance del incidente, la cantidad de información presuntamente sustraída, la existencia de sistemas cifrados o una eventual exigencia de rescate.
El caso pone nuevamente de manifiesto la creciente convergencia entre los infostealers y las operaciones de ransomware: el robo de credenciales puede convertirse en el primer eslabón de una cadena de ataque que comprometa instituciones completas, afecte la continuidad de sus operaciones y ponga en riesgo información de empleados, estudiantes y colaboradores.
Para más información, visite: https://www.silikn.net/