Ransomware Medusa, le vittime superano quota 500: sanità e infrastrutture critiche nel mirino

La crescita degli attacchi documentata da CISA e FBI

Gli affiliati del ransomware Medusa hanno colpito oltre 500 vittime entro aprile 2026. Il dato emerge dall’aggiornamento dell’avviso pubblicato da CISA e FBI, inizialmente diffuso a marzo 2025.

Nel 2025 le agenzie statunitensi avevano censito circa 300 organizzazioni attaccate. L’incremento è quindi superiore a 200 vittime, con una presenza significativa nei settori classificati come infrastrutture critiche.

Medusa non ha limitato le proprie attività a un singolo comparto. Tra gli obiettivi figurano strutture sanitarie, amministrazioni municipali statunitensi e organizzazioni internazionali. Il gruppo è attivo dal 2021 e ha adottato una strategia basata sulla pressione operativa e finanziaria esercitata sulle vittime.

Non è indicato se Medusa sia stato inserito nel catalogo KEV di CISA, né risultano nel materiale disponibile una data di inserimento o una scadenza per la mitigazione. Mancano inoltre identificativi CVE associati agli exploit descritti nell’avviso.

L’attacco all’ospedale pediatrico del Mississippi

Ad aprile Medusa ha interrotto le attività dell’University of Mississippi Medical Center. La struttura viene descritta come l’unico ospedale pediatrico del Mississippi, l’unico centro traumatologico di livello I dello Stato e l’unica struttura statale con terapia intensiva neonatale di livello IV.

L’ospedale ospita anche l’unico programma statale per i trapianti d’organo. Un attacco contro un’organizzazione con questo profilo può quindi incidere non soltanto sui sistemi informatici, ma sull’erogazione di servizi sanitari essenziali.

Il caso mostra il rischio concreto associato alla concentrazione di Medusa sul settore sanitario. Un’intrusione può bloccare sistemi amministrativi, interrompere i flussi di lavoro clinici e complicare la gestione delle emergenze, dei ricoveri e degli interventi specialistici.

Il numero complessivo delle vittime e la scelta di obiettivi critici aumentano la rilevanza della campagna. Non è però noto quante delle oltre 500 organizzazioni abbiano pagato un riscatto, né quale sia il volume complessivo dei dati sottratti.

Exploit utilizzati in tempi sempre più brevi

L’avviso descrive una particolare velocità nell’adozione degli exploit. Gli affiliati possono sfruttare una vulnerabilità appena annunciata entro 24 ore dalla divulgazione.

In alcuni casi, gli operatori sarebbero stati osservati mentre utilizzavano exploit fino a una settimana prima della pubblicazione ufficiale della vulnerabilità. Questo non dimostra che Medusa sviluppi autonomamente falle zero-day o N-day.

Secondo CISA e FBI, l’ipotesi più plausibile è che il gruppo ottenga da fonti non note un accesso anticipato a exploit avanzati oppure che sfrutti rapidamente strumenti resi pubblici, prima che le organizzazioni riescano ad applicare le patch.

Microsoft aveva descritto la stessa dinamica in un rapporto del 6 aprile 2026, riferito alle operazioni di ransomware condotte da Storm-1175 per Medusa. Gli obiettivi erano asset esposti su Internet e privi degli aggiornamenti disponibili.

La finestra di rischio può quindi ridursi a poche ore. Un sistema web-facing non aggiornato può diventare il punto d’ingresso prima che i team di sicurezza abbiano completato la valutazione della nuova vulnerabilità.

Un’organizzazione a più livelli e una doppia pressione economica

Medusa è nato come gruppo ransomware chiuso, ma nel 2023 è passato a un modello basato sugli affiliati. Gli sviluppatori mettono a disposizione il ransomware e assegnano diversi livelli di accesso in base all’esperienza e ai risultati economici degli operatori.

Per gli affiliati meno esperti, anche la negoziazione con la vittima può rimanere sotto il controllo degli sviluppatori. Il reclutamento avviene nei forum criminali e il gruppo avrebbe offerto fino a 1 milione di dollari agli initial access broker disposti a lavorare in esclusiva.

Prima di colpire un’organizzazione, gli operatori effettuano spesso attività di ricognizione. La richiesta economica può essere calibrata sui ricavi dichiarati pubblicamente dalla vittima, trasformando le informazioni finanziarie in uno strumento per aumentare il valore del riscatto.

La trattativa può includere sconti per chi paga rapidamente. Al contrario, un’estensione di un solo giorno della scadenza fissata per la pubblicazione dei dati può costare 10.000 dollari.

Quando una vittima paga, Medusa rimuove le informazioni dal proprio sito di leak. CISA e FBI sottolineano però che non è possibile verificare se i dati siano stati davvero cancellati. Il pagamento, quindi, non garantisce la distruzione delle copie né impedisce necessariamente ulteriori abusi.

L’avviso cita anche un episodio potenzialmente riconducibile a una tripla estorsione o a una frattura interna. Un operatore avrebbe sostenuto che il negoziatore aveva sottratto il riscatto già versato, chiedendo poi metà della somma per consegnare il “vero decryptor”.

Il caso potrebbe indicare una richiesta duplicata, accompagnata da una nuova minaccia, oppure una scarsa coordinazione tra gli affiliati. Non è noto quale delle due interpretazioni sia corretta.

Strumenti legittimi usati per nascondere la compromissione

Dopo l’accesso iniziale, gli operatori sottraggono credenziali e ricorrono a software legittimi per il monitoraggio e l’amministrazione remota. L’uso di strumenti normalmente presenti negli ambienti aziendali può rendere più difficile distinguere l’attività malevola da quella degli amministratori.

Il FBI ha osservato l’impiego dei seguenti prodotti:

• AnyDesk;
• Atera;
• ConnectWise;
• eHorus;
• N-able;
• BeyondTrust;
• SimpleHelp;
• Splashtop.

Non sono state rese note le versioni utilizzate. Le organizzazioni dovrebbero quindi verificare non soltanto la presenza di questi programmi, ma anche chi li ha installati, quali account li utilizzano e verso quali sistemi stabiliscono connessioni.

Secondo SafeBreach, gli attori collegati a Medusa stanno comprimendo drasticamente i tempi dell’intrusione. Tra il primo accesso e l’esfiltrazione dei dati possono trascorrere poche ore, invece di diversi giorni.

Questo riduce il tempo disponibile per individuare l’attacco prima della cifratura o della pubblicazione delle informazioni. Furto di credenziali, accesso remoto e trasferimento rapido dei dati devono essere analizzati come una possibile sequenza unica, non come eventi indipendenti.

Priorità operative per le organizzazioni

La prima misura consiste nell’applicare rapidamente le patch agli asset esposti su Internet, soprattutto quando viene annunciata una nuova vulnerabilità. Nel caso di Medusa, rimandare l’aggiornamento può lasciare aperta una finestra sfruttabile entro 24 ore.

I team di sicurezza dovrebbero inoltre:

• controllare gli accessi anomali e i segnali di furto o riutilizzo delle credenziali;
• individuare installazioni non autorizzate dei software di accesso remoto elencati dalle agenzie;
• verificare connessioni inattese provenienti da o dirette verso strumenti di amministrazione remota;
• esaminare i sistemi web-facing privi delle correzioni disponibili;
• cercare una sequenza rapida tra accesso iniziale, movimento nell’ambiente ed esfiltrazione;
• conservare gli eventi utili all’analisi forense e al rilevamento post-compromissione.

Non risultano nuove vittime aggiunte al sito di leak da aprile. Il rallentamento potrebbe riflettere una maggiore attenzione investigativa dopo l’attacco all’University of Mississippi Medical Center, ma non consente di concludere che le attività di Medusa siano terminate.