Medusa atakuje szpitale, administrację i przemysł. CISA publikuje nowe ostrzeżenie

Amerykańskie służby ostrzegają przed rosnącą aktywnością grupy ransomware Medusa. Według najnowszych danych cyberprzestępcy zaatakowali już ponad 500 organizacji należących do różnych sektorów infrastruktury krytycznej w Stanach Zjednoczonych, znacznie więcej niż wskazywały wcześniejsze szacunki.

Wspólne ostrzeżenie opublikowały amerykańska Agencja ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury CISA, Federalne Biuro Śledcze FBI oraz Departament Zdrowia i Opieki Społecznej HHS. Według stanu na kwiecień 2026 roku działalność Medusy dotknęła ponad 500 podmiotów z kilku kluczowych sektorów gospodarki.

Od 300 do ponad 500 ofiar

Na liście zaatakowanych organizacji znajdują się podmioty związane między innymi z ochroną zdrowia, przemysłem obronnym, produkcją, administracją publiczną, technologiami informatycznymi i usługami finansowymi. Ofiarami padały również firmy i instytucje działające w edukacji, branży prawniczej, ubezpieczeniach oraz szeroko rozumianym sektorze technologicznym.

Skala działalności grupy wyraźnie wzrosła. W poprzednim wspólnym raporcie amerykańskich instytucji, opublikowanym w marcu 2025 roku, mowa była o ponad 300 organizacjach infrastruktury krytycznej dotkniętych działalnością Medusy. W ciągu około roku liczba znanych ofiar zwiększyła się więc o co najmniej 200.

Służby zalecają administratorom przede wszystkim szybkie usuwanie podatności w systemach operacyjnych, oprogramowaniu i firmware. Ważna jest również segmentacja sieci, która utrudnia napastnikom przemieszczanie się pomiędzy kolejnymi systemami po uzyskaniu pierwszego dostępu. CISA rekomenduje ponadto ograniczenie dostępu do wewnętrznych usług z niezaufanych źródeł.

Medusa korzysta z usług pośredników

Medusa pojawiła się na początku 2021 roku, jednak jej aktywność stała się znacznie bardziej widoczna dwa lata później. W 2023 roku uruchomiono serwis Medusa Blog, wykorzystywany do publikowania informacji o ofiarach i wywierania na nie presji poprzez groźbę ujawnienia skradzionych danych. Jednym z głośniejszych przypadków był atak na szkoły publiczne w Minneapolis.

Początkowo Medusa funkcjonowała jako zamknięta organizacja ransomware. Z czasem przeszła jednak na model oparty na współpracy z zewnętrznymi partnerami. Twórcy złośliwego oprogramowania korzystają między innymi z usług brokerów dostępu początkowego, którzy zdobywają możliwość wejścia do sieci potencjalnych ofiar.

„Twórcy Medusy zazwyczaj rekrutują brokerów dostępu początkowego na forach i rynkach cyberprzestępczych, aby uzyskać początkowy dostęp do potencjalnych ofiar” napisano w ostrzeżeniu. Partnerom oferowane są płatności od 100 USD do nawet 1 mln USD, w zamian również za możliwość współpracy na wyłączność.

Medusa to nie MedusaLocker

Nazwa Medusa może być myląca, ponieważ wykorzystuje ją kilka niezależnych rodzin złośliwego oprogramowania i grup cyberprzestępczych. Opisywana przez CISA operacja ransomware nie jest MedusaLockerem. To dwie odrębne grupy, choć w przeszłości były wielokrotnie mylone także w doniesieniach dotyczących cyberataków.

Rosnąca liczba ofiar pokazuje, że Medusa pozostaje poważnym zagrożeniem dla organizacji, w których przestój systemów może mieć bezpośrednie konsekwencje operacyjne. Szczególnie istotne staje się więc ograniczenie możliwości przemieszczania się napastników wewnątrz infrastruktury. Samo zablokowanie początkowego wektora ataku może nie wystarczyć, jeżeli przestępcom uda się wcześniej zdobyć ważne poświadczenia lub dostęp do kolejnych segmentów sieci.