Ransomware Medusa : plus de 500 victimes, la santé et les infrastructures critiques dans le viseur

La progression des attaques documentée par la CISA et le FBI

Les affiliés du ransomware Medusa ont ciblé plus de 500 victimes en avril 2026. Ce chiffre ressort de la mise à jour de l’alerte publiée par la CISA et le FBI, initialement diffusée en mars 2025.

En 2025, les agences américaines avaient recensé environ 300 organisations attaquées. Le nombre de victimes a donc augmenté de plus de 200, avec une présence importante dans des secteurs classés comme infrastructures critiques.

Medusa n’a pas limité ses activités à un seul domaine. Parmi ses cibles figurent des établissements de santé, des administrations municipales américaines et des organisations internationales. Le groupe est actif depuis 2021 et applique une stratégie fondée sur une pression opérationnelle et financière constante sur ses victimes.

L’alerte ne précise pas si Medusa figure dans le catalogue KEV de la CISA. Aucun élément disponible n’indique non plus une date d’ajout ou une échéance de remédiation. Par ailleurs, aucun identifiant CVE n’est associé aux exploits décrits dans l’alerte.

L’attaque contre l’hôpital pédiatrique du Mississippi

En avril, Medusa a interrompu les activités de l’University of Mississippi Medical Center. Cet établissement est présenté comme le seul hôpital pédiatrique du Mississippi, le seul centre de traumatologie de niveau I de l’État et la seule structure de l’État disposant d’un service de soins intensifs néonatals de niveau IV.

L’hôpital abrite également le seul programme de transplantation d’organes de l’État. Une attaque contre une organisation présentant un tel profil peut donc affecter non seulement les systèmes informatiques, mais aussi la fourniture de services de santé essentiels.

Ce cas illustre le risque concret lié à la concentration de Medusa sur le secteur de la santé. Une intrusion peut bloquer les systèmes administratifs, interrompre les processus cliniques et compliquer la gestion des urgences, des admissions et des interventions spécialisées.

Le nombre total de victimes et le choix de cibles critiques renforcent l’importance de cette campagne. On ignore toutefois combien des plus de 500 organisations ont payé une rançon, ainsi que le volume total des données dérobées.

Des exploits utilisés dans des délais toujours plus courts

L’alerte décrit une adoption particulièrement rapide des exploits. Les affiliés peuvent exploiter une vulnérabilité nouvellement annoncée dans les 24 heures suivant sa divulgation.

Dans certains cas, les opérateurs auraient été observés en train d’utiliser des exploits jusqu’à une semaine avant la publication officielle de la vulnérabilité. Cela ne prouve pas que Medusa développe lui-même des failles zero-day ou N-day.

Selon la CISA et le FBI, l’hypothèse la plus plausible est que le groupe obtienne auprès de sources inconnues un accès anticipé à des exploits avancés ou qu’il exploite rapidement des outils rendus publics, avant que les organisations aient le temps d’appliquer les correctifs.

Microsoft avait décrit une dynamique similaire dans un rapport du 6 avril 2026 consacré aux opérations de ransomware menées par Storm-1175 pour le compte de Medusa. Les cibles étaient des actifs exposés sur Internet et dépourvus des mises à jour disponibles.

La fenêtre de risque peut donc se réduire à quelques heures. Un système web-facing non mis à jour peut devenir un point d’entrée avant même que les équipes de sécurité aient terminé l’évaluation de la nouvelle vulnérabilité.

Une organisation à plusieurs niveaux et une double pression financière

Medusa a été créé comme un groupe de ransomware fermé, avant d’adopter en 2023 un modèle fondé sur les affiliés. Les développeurs fournissent le ransomware et attribuent différents niveaux d’accès en fonction de l’expérience et des résultats financiers des opérateurs.

Pour les affiliés les moins expérimentés, les développeurs peuvent également garder le contrôle des négociations avec la victime. Le recrutement s’effectue sur des forums criminels, et le groupe aurait proposé jusqu’à 1 million de dollars aux initial access brokers acceptant de travailler en exclusivité.

Avant de cibler une organisation, les opérateurs mènent souvent des activités de reconnaissance. Le montant demandé peut être calculé à partir des revenus publiquement déclarés par la victime, transformant les informations financières en levier pour augmenter la rançon.

La négociation peut inclure des remises pour les victimes qui paient rapidement. À l’inverse, la prolongation d’une seule journée du délai fixé pour publier les données peut coûter 10 000 dollars.

Lorsqu’une victime paie, Medusa retire les informations de son site de fuite. La CISA et le FBI soulignent toutefois qu’il est impossible de vérifier si les données ont réellement été supprimées. Le paiement ne garantit donc ni la destruction des copies ni l’absence de nouvelles utilisations abusives.

L’alerte cite également un incident pouvant relever d’une triple extorsion ou d’un conflit interne. Un opérateur aurait affirmé que le négociateur avait détourné la rançon déjà versée, avant de demander la moitié de cette somme pour fournir le « véritable décrypteur ».

Ce cas pourrait correspondre à une double demande accompagnée d’une nouvelle menace, ou à une mauvaise coordination entre les affiliés. On ignore laquelle de ces interprétations est exacte.

Des outils légitimes utilisés pour dissimuler la compromission

Après l’accès initial, les opérateurs dérobent des identifiants et utilisent des logiciels légitimes de supervision et d’administration à distance. L’emploi d’outils habituellement présents dans les environnements d’entreprise peut compliquer la distinction entre une activité malveillante et celle des administrateurs.

Le FBI a observé l’utilisation des produits suivants :

• AnyDesk ;
• Atera ;
• ConnectWise ;
• eHorus ;
• N-able ;
• BeyondTrust ;
• SimpleHelp ;
• Splashtop.

Les versions utilisées n’ont pas été précisées. Les organisations doivent donc vérifier non seulement la présence de ces programmes, mais aussi leur installateur, les comptes qui les utilisent et les systèmes auxquels ils se connectent.

Selon SafeBreach, les acteurs liés à Medusa réduisent drastiquement la durée des intrusions. Quelques heures peuvent s’écouler entre le premier accès et l’exfiltration des données, contre plusieurs jours auparavant.

Le temps disponible pour détecter l’attaque avant le chiffrement ou la publication des informations s’en trouve réduit. Le vol d’identifiants, l’accès à distance et le transfert rapide des données doivent être analysés comme une séquence potentiellement unique, et non comme des événements indépendants.

Priorités opérationnelles pour les organisations

La première mesure consiste à appliquer rapidement les correctifs aux actifs exposés sur Internet, en particulier lorsqu’une nouvelle vulnérabilité est annoncée. Dans le cas de Medusa, retarder la mise à jour peut laisser ouverte une fenêtre exploitable en moins de 24 heures.

Les équipes de sécurité devraient également :

• contrôler les accès inhabituels et les signes de vol ou de réutilisation d’identifiants ;
• détecter les installations non autorisées des logiciels d’accès à distance cités par les agences ;
• vérifier les connexions inattendues en provenance ou à destination d’outils d’administration à distance ;
• examiner les systèmes web-facing dépourvus des correctifs disponibles ;
• rechercher une succession rapide entre accès initial, déplacement latéral et exfiltration ;
• conserver les événements utiles à l’analyse forensique et à la détection post-compromission.

Aucune nouvelle victime n’a été ajoutée au site de fuite depuis avril. Ce ralentissement pourrait refléter une attention accrue des enquêteurs après l’attaque contre l’University of Mississippi Medical Center, mais il ne permet pas de conclure que les activités de Medusa ont cessé.