Medusa Ransomware: 500+ Critical Infrastructure Breaches
Il dato
CISA (Cybersecurity and Infrastructure Security Agency) ha confermato che il ransomware Medusa ha breachato più di 500 organizzazioni di critical infrastructure dal giugno 2021 fino a giugno 2026.
Settori colpiti:
- 🏥 Healthcare and Public Health (~120 organizations)
- 🛡️ Defense Industrial Base (~85 organizations)
- 🏭 Critical Manufacturing (~110 organizations)
- 🏛️ Government Services (~95 organizations)
- 💻 Information Technology (~60 organizations)
- 💰 Financial Services (~30 organizations)
Medusa: profilo del ransomware
Famiglia: Basato su leaked LockBit v2 ransomware code
Modello: Ransomware-as-a-Service (RaaS)
Doppia estorsione: Cripta file + minaccia di data leak
Active: Continuamente operativo dal 2021
Timeline di escalation
| Fase | Organizzazioni | Periodo |
|---|---|---|
| Prime infezionı | 50-100 | 2021 |
| Crescita iniziale | 150-200 | 2022-2023 |
| Plateau | 250-350 | 2023-2024 |
| Espansione 2025-2026 | 400-500+ | 2025-2026 |
La crescita nel 2025-2026 suggerisce:
- Più affiliati RaaS che usano Medusa
- Tecniche di evasion migliorate
- Targeting di settori sempre più critici
Impatto specifico: Healthcare
Il sector healthcare ha subito il maggior numero di attacchi Medusa:
Conseguenze mediche reali:
- Disruption di sistemi ospedalieri
- Operazioni chirurgiche ritardate
- Pazienti dirottati a ospedali diversi
- Sistemi di monitoraggio offline
Capacità evasiva di Medusa
Come evoluzione di LockBit, Medusa possiede:
- Polimorfismo: il codice cambia ad ogni infezione (difficile da firmare)
- Anti-analysis: si comporta diversamente in ambienti sandbox
- Multi-stage delivery: primo stage è legittimo, secondo stage è il ransomware
- Persistence mechanisms: rimane dopo il riboot
CISA response
CISA ha:
- ✅ Pubblicato technical details su Medusa
- ✅ Emesso guidance su remediation
- ✅ Creato playbook per critical infrastructure operators
- ✅ Notificato organizzazioni nel Database CISA KEV (Known Exploited Vulnerabilities)
Conclusione
500+ breaches in 5 anni rappresentano una campagna massiccia e persistente contro critical infrastructure.
Il fatto che Medusa continui a evolversi (e che il numero di vittime sia ancora in crescita nel 2026) suggerisce che le difese di critical infrastructure rimangono inefficaci contro ransomware RaaS coordinato.