CISA segnala che il gruppo ransomware Medusa ha violato più di 500 organizzazioni di infrastrutture critiche negli Stati Uniti dal giugno 2021, coinvolgendo settori come sanità, difesa, manifatturiero e servizi finanziari.
Il gruppo ransomware Medusa ha colpito oltre 500 organizzazioni di infrastrutture critiche negli Stati Uniti dal giugno 2021, secondo quanto riportato dalla Cybersecurity and Infrastructure Security Agency (CISA) in collaborazione con il Department of Health and Human Services (HHS) e il Federal Bureau of Investigation (FBI). L'ultimo avviso congiunto, aggiornato ad aprile 2026, evidenzia come le vittime siano distribuite tra settori chiave come sanità, difesa, manifatturiero, servizi governativi, tecnologia dell'informazione e servizi finanziari. Sono stati coinvolti anche enti nei settori medico, educativo, legale, assicurativo e tecnologico.
Un'evoluzione rapida e strategie di pressione
Attivo dal gennaio 2021, Medusa ha intensificato le sue attività nel 2023 con il lancio del Medusa Blog, un sito di leak utilizzato per pubblicare dati rubati e aumentare la pressione sulle vittime affinché paghino il riscatto. Originariamente chiuso, il gruppo si è trasformato in un'operazione Ransomware-as-a-Service (RaaS), adottando un modello ad affiliazione e reclutando Initial Access Broker (IAB) tramite forum e marketplace cybercriminali. Gli affiliati possono ricevere compensi tra 100 e 1 milione di dollari, con la possibilità di collaborare in esclusiva con Medusa.
Ambiguità e confusione tra le varianti
Il nome Medusa è stato spesso fonte di confusione, poiché utilizzato anche da altre famiglie malware, tra cui una botnet basata su Mirai e un'operazione Android MaaS nota come TangleBot. Questa sovrapposizione ha portato a frequenti equivoci con MedusaLocker, sebbene si tratti di operazioni distinte.
Impatto mediatico e raccomandazioni di sicurezza
Medusa ha attirato l'attenzione dei media nel marzo 2023 dopo aver rivendicato un attacco al distretto scolastico di Minneapolis, diffondendo un video dei dati sottratti. Le agenzie federali raccomandano ai responsabili IT di rafforzare la sicurezza segmentando le reti, correggendo vulnerabilità e limitando l'accesso remoto da origini non affidabili per ridurre il rischio di compromissione.
Il contesto delle minacce ransomware
L'aumento degli attacchi ransomware contro infrastrutture critiche si inserisce in un quadro più ampio di minacce digitali. Ad esempio, recenti campagne malware come quelle descritte nell'analisi su nuove tecniche di furto dati su macOS mostrano come i cybercriminali diversifichino strumenti e strategie per colpire settori sensibili.
