Ransomware Medusa: las víctimas superan las 500 y la sanidad y las infraestructuras críticas están en el punto de mira

El crecimiento de los ataques documentado por CISA y el FBI

Los afiliados del ransomware Medusa han atacado a más de 500 víctimas hasta abril de 2026. El dato figura en la actualización del aviso publicado por CISA y el FBI, difundido inicialmente en marzo de 2025.

En 2025, las agencias estadounidenses habían contabilizado unas 300 organizaciones afectadas. El aumento supera, por tanto, las 200 víctimas, con una presencia significativa en sectores clasificados como infraestructuras críticas.

Medusa no ha limitado sus actividades a un único sector. Entre sus objetivos figuran centros sanitarios, administraciones municipales estadounidenses y organizaciones internacionales. El grupo está activo desde 2021 y ha adoptado una estrategia basada en ejercer presión operativa y financiera sobre las víctimas.

No se indica si Medusa ha sido incluido en el catálogo KEV de CISA, ni constan en el material disponible una fecha de incorporación o un plazo para la mitigación. Tampoco aparecen identificadores CVE asociados a los exploits descritos en el aviso.

El ataque al hospital pediátrico de Misisipi

En abril, Medusa interrumpió las actividades del University of Mississippi Medical Center. El centro es descrito como el único hospital pediátrico de Misisipi, el único centro traumatológico de nivel I del estado y la única instalación estatal con una unidad de cuidados intensivos neonatales de nivel IV.

El hospital también alberga el único programa estatal de trasplantes de órganos. Un ataque contra una organización con este perfil puede afectar no solo a los sistemas informáticos, sino también a la prestación de servicios sanitarios esenciales.

El caso muestra el riesgo concreto asociado a la concentración de Medusa en el sector sanitario. Una intrusión puede bloquear sistemas administrativos, interrumpir los flujos de trabajo clínicos y complicar la gestión de emergencias, hospitalizaciones e intervenciones especializadas.

El número total de víctimas y la elección de objetivos críticos aumentan la relevancia de la campaña. Sin embargo, se desconoce cuántas de las más de 500 organizaciones pagaron un rescate y cuál es el volumen total de datos sustraídos.

Exploits utilizados cada vez más rápido

El aviso describe una velocidad especialmente elevada en la adopción de exploits. Los afiliados pueden aprovechar una vulnerabilidad recién anunciada en las 24 horas posteriores a su divulgación.

En algunos casos, los operadores habrían sido observados utilizando exploits hasta una semana antes de la publicación oficial de la vulnerabilidad. Esto no demuestra que Medusa desarrolle de forma autónoma vulnerabilidades zero-day o N-day.

Según CISA y el FBI, la hipótesis más plausible es que el grupo obtenga de fuentes desconocidas acceso anticipado a exploits avanzados o que utilice rápidamente herramientas hechas públicas, antes de que las organizaciones puedan aplicar los parches.

Microsoft describió la misma dinámica en un informe del 6 de abril de 2026, referido a las operaciones de ransomware realizadas por Storm-1175 para Medusa. Los objetivos eran activos expuestos a Internet y sin las actualizaciones disponibles.

La ventana de riesgo puede reducirse, por tanto, a unas pocas horas. Un sistema web-facing sin actualizar puede convertirse en el punto de entrada antes de que los equipos de seguridad hayan completado la evaluación de la nueva vulnerabilidad.

Una organización multinivel y una doble presión económica

Medusa surgió como un grupo de ransomware cerrado, pero en 2023 adoptó un modelo basado en afiliados. Los desarrolladores proporcionan el ransomware y asignan distintos niveles de acceso en función de la experiencia y los resultados económicos de los operadores.

Para los afiliados con menos experiencia, incluso la negociación con la víctima puede permanecer bajo el control de los desarrolladores. El reclutamiento se lleva a cabo en foros criminales y el grupo habría ofrecido hasta un millón de dólares a los initial access brokers dispuestos a trabajar en exclusiva.

Antes de atacar a una organización, los operadores suelen realizar tareas de reconocimiento. La demanda económica puede calcularse a partir de los ingresos declarados públicamente por la víctima, convirtiendo la información financiera en una herramienta para aumentar el importe del rescate.

La negociación puede incluir descuentos para quienes pagan rápidamente. Por el contrario, ampliar un solo día el plazo fijado para publicar los datos puede costar 10.000 dólares.

Cuando una víctima paga, Medusa elimina la información de su sitio de filtraciones. Sin embargo, CISA y el FBI subrayan que no es posible verificar si los datos se han borrado realmente. Por tanto, el pago no garantiza la destrucción de las copias ni impide necesariamente nuevos usos indebidos.

El aviso también menciona un episodio que podría estar relacionado con una triple extorsión o con una disputa interna. Un operador habría afirmado que el negociador se había quedado con el rescate ya pagado y habría exigido después la mitad de la suma para entregar el «descifrador real».

El caso podría indicar una demanda duplicada acompañada de una nueva amenaza, o una falta de coordinación entre los afiliados. Se desconoce cuál de las dos interpretaciones es correcta.

Herramientas legítimas utilizadas para ocultar la intrusión

Tras obtener el acceso inicial, los operadores roban credenciales y recurren a software legítimo de monitorización y administración remota. El uso de herramientas habituales en entornos corporativos puede dificultar la distinción entre la actividad maliciosa y la de los administradores.

El FBI ha observado el uso de los siguientes productos:

• AnyDesk;
• Atera;
• ConnectWise;
• eHorus;
• N-able;
• BeyondTrust;
• SimpleHelp;
• Splashtop.

No se han dado a conocer las versiones utilizadas. Por ello, las organizaciones deberían comprobar no solo la presencia de estos programas, sino también quién los instaló, qué cuentas los utilizan y con qué sistemas establecen conexiones.

Según SafeBreach, los actores vinculados a Medusa están reduciendo drásticamente los tiempos de la intrusión. Entre el primer acceso y la exfiltración de los datos pueden transcurrir apenas unas horas, en lugar de varios días.

Esto reduce el tiempo disponible para detectar el ataque antes del cifrado o la publicación de la información. El robo de credenciales, el acceso remoto y la transferencia rápida de datos deben analizarse como una posible secuencia única, no como eventos independientes.

Prioridades operativas para las organizaciones

La primera medida consiste en aplicar rápidamente parches a los activos expuestos a Internet, especialmente cuando se anuncia una nueva vulnerabilidad. En el caso de Medusa, retrasar la actualización puede dejar abierta una ventana explotable en menos de 24 horas.

Además, los equipos de seguridad deberían:

• revisar los accesos anómalos y los indicios de robo o reutilización de credenciales;
• identificar instalaciones no autorizadas de los programas de acceso remoto enumerados por las agencias;
• comprobar si existen conexiones inesperadas desde o hacia herramientas de administración remota;
• examinar los sistemas web-facing que carezcan de las correcciones disponibles;
• buscar una secuencia rápida entre el acceso inicial, el movimiento lateral y la exfiltración;
• conservar los eventos necesarios para el análisis forense y la detección posterior a la intrusión.

No se han registrado nuevas víctimas en el sitio de filtraciones desde abril. La ralentización podría reflejar una mayor atención investigadora tras el ataque al University of Mississippi Medical Center, pero no permite concluir que las actividades de Medusa hayan terminado.