CISA、Medusaランサムウェアが重要インフラ組織500件以上を攻撃したと発表

米サイバーセキュリティ・インフラセキュリティ庁(CISA)は火曜日、Medusaランサムウェア集団が2021年6月以降、米国内の重要インフラ組織500件以上に侵入していたと発表しました。

この事実は、米連邦捜査局(FBI)および米保健福祉省(HHS)と連携して発表された共同勧告で明らかにされました。

各機関は「2026年4月時点で、Medusaの攻撃者は医療・公衆衛生、防衛産業基盤、重要製造業、政府サービス・施設、情報技術、金融サービスなど、複数の重要インフラ分野にわたる500以上の被害者に影響を及ぼしている」と述べています。

「その他の被害者には、医療、教育、法律、保険、テクノロジー、製造業といった業界の組織も含まれる」としています。

今回の発表は、Medusaランサムウェアの活動が重要インフラ組織300件以上に影響を及ぼしたとされていた2025年3月公表の共同報告書を更新するものです。

連邦機関3者は、ネットワーク防御担当者に対し、悪用の試みからオペレーティングシステム、ソフトウェア、ファームウェアを保護するためセキュリティ脆弱性を修正し、Medusaランサムウェア集団による攻撃からネットワークを守るよう推奨しています。

また、セキュリティチームに対しては、侵害後の横方向移動を阻止するためにネットワークをセグメント化すること、そして信頼できない発信元から内部システムのリモートサービスへのアクセスを遮断することも推奨されています。

2021年1月から活動

Medusaランサムウェアの活動は5年前の2021年1月に初めて確認されました。しかし、この集団の活動が本格化したのは2023年で、リークサイト「Medusa Blog」を開設し、盗み出したデータを人質にして被害者に身代金の支払いを迫るようになってからです。

Medusaは当初、外部委託を行わない閉鎖型のランサムウェアとして登場しましたが、後にランサムウェア・アズ・ア・サービス(RaaS)の運営形態へと進化し、アフィリエイト方式を採用するようになりました。

勧告では「Medusaの開発者は通常、サイバー犯罪フォーラムやマーケットプレイスで初期アクセスブローカー(IAB)を勧誘し、標的候補への初期アクセスを獲得している」と説明されています。「これらのアフィリエイトには、100米ドルから100万米ドルの間の報酬が提示されるほか、Medusa専属で活動する機会も提供される」としています。

Medusaという名称は、マルウェアファミリーやサイバー犯罪集団の間で広く使われており、2020年に発見されたAndroidマルウェア・アズ・ア・サービス(MaaS、別名TangleBot)や、ランサムウェア機能を備えたMiraiベースのボットネットもこの名称を用いています。

こうした事情から、Medusaランサムウェアに関する報道はこれまでも混同を招きがちで、広く知られるMedusaLockerランサムウェアと同一視されることも少なくありません。しかし両者はまったく別の集団です。

このMedusaによるサイバー犯罪活動が広くメディアの注目を集めたのは2023年3月のことで、ミネアポリス公立学校区(MPS)への攻撃を主張し、盗み出したデータの映像を公開したことがきっかけでした。