Medusa scala con accessi comprati e exploit in 24 ore
Medusa non sta crescendo solo come gang ransomware: sta trasformando una debolezza appena resa pubblica in più intrusioni parallele. Nell’aggiornamento congiunto di FBI, CISA e HHS del 18 agosto, le agenzie dicono che il gruppo ha colpito oltre 500 organizzazioni di infrastrutture critiche e che molti broker di accesso lavorano con più compratori, non solo con Medusa.
Il modello è semplice e aggressivo. Medusa compra accessi già pronti, poi li riusa oppure sfrutta exploit appena annunciati entro 24 ore, prima che molte vittime finiscano di verificare l’esposizione o di applicare la patch. Dentro la rete, il gruppo si appoggia a strumenti già presenti e a credenziali rubate per muoversi, spegnere i backup ed estorcere due volte.
Per chi gestisce sistemi esposti su Internet, il punto non è più la singola intrusione: è la velocità con cui una falla diventa un canale operativo condiviso da più attaccanti. La finestra tra disclosure e abuso si è ridotta a ore, e questo alza il rischio per sanità, servizi pubblici, industria, finanza, scuola e studi legali che dipendono da remote-support, file-transfer e admin tooling.
The FBI said Tuesday that the Medusa ransomware gang has breached more than 500 critical infrastructure organizations in the United States since June 2021.
The Cybersecurity and Infrastructure Security Agency (CISA) and FBI updated an advisory on the group initially released in March 2025 — writing that as of April 2026, Medusa actors have hit more than 500 victims.