Medusa non sta solo aumentando il numero di vittime: ha industrializzato l'acquisizione dell'accesso. Nell'aggiornamento congiunto di CISA, FBI e HHS, il gruppo supera quota 500 vittime e usa la finestra di patch come finestra d'attacco, soprattutto contro healthcare e infrastrutture critiche.
Il gruppo paga access broker da 100 dollari a 1 milione per comprare un foothold già pronto, poi corre a sfruttare exploit appena annunciati, spesso entro 24 ore e talvolta prima della disclosure pubblica. Le intrusioni su Fortra GoAnywhere e BeyondTrust mostrano che un bug appena emerso può diventare subito accesso ransomware; una volta dentro, Medusa usa strumenti legittimi, RDP e software di remote monitoring per muoversi lateralmente e distribuire il ransomware.
Per chi espone remote access o managed file transfer, il punto non è solo il fix: l'accesso può essere stato monetizzato da un broker prima che la patch arrivi. Questo rende Medusa un caso utile per capire quanto rapidamente una disclosure possa tradursi in extortion su ambienti già raggiungibili da Internet.