Medusa脅威グループは、2021年6月以降、米国の重要インフラ組織500以上を攻撃してきました。2025年2月時点では、米当局が確認していた被害者は300強にとどまっていましたが、それ以降、既知の被害組織のリストは少なくとも200件増加したことになります。この最新の数値は、米サイバーセキュリティ・インフラセキュリティ庁(CISA)、FBI、米保健福祉省(HHS)が同ランサムウェアへの対策として公開した共同勧告の改訂版に記載されています。
2026年4月時点で標的にされた業種
2026年4月時点で、Medusaは医療機関、防衛産業基盤、重要製造業、政府サービス、IT分野、金融機関のネットワークへの侵入に成功しています。被害者リストには、医療・教育機関、法律・保険会社、テクノロジー企業、製造業組織も含まれています。
改訂された勧告——増え続ける被害者数
CISA、FBI、HHSによる共同勧告の前回版は2025年3月に公開されていました。当時、当局は重要インフラ組織の被害者が300以上に上ると報告しており、この統計にはMedusaの開発者陣とその提携パートナーの双方が含まれていました。
非公開の運営体制から公開型の恐喝サイトへ
Medusaが初めて確認されたのは2021年1月ですが、グループの活動が顕著に活発化したのは2023年からです。攻撃者らは「Medusa Blog」というサイトを立ち上げ、侵害した組織や窃取したファイルに関する情報を公開するようになりました。企業データの暗号化に加え、情報漏えいの脅しによる圧力も加わるようになりました。まず情報を窃取し、それを公開しないことと引き換えに金銭を要求するという手口です。
Medusaが広く注目を集めたのは、2023年3月にミネアポリス学区を攻撃した事件がきっかけでした。この侵害の後、攻撃者らは窃取した資料を示す動画を公開しました。この事件は、Medusaが実践する二重恐喝の手口を如実に示すものでした。被害組織のデータへのアクセスを封じると同時に、事前にコピーしておいた情報を、支払いを拒否すれば公開すると脅すというものです。
非公開型からRansomware-as-a-Serviceへ
グループの運営モデルも、この数年でかなりの変化を遂げています。Medusaは当初、独自の暗号化ツールを用いる非公開の運営体制で活動を始めましたが、その後Ransomware-as-a-Service(RaaS)モデルへと移行しました。この仕組みでは、開発者側がマルウェアと関連インフラを提供し、個々のパートナーが標的の選定、ネットワークへの侵入、さらなる攻撃の展開を担います。
初期アクセスブローカーが運営を支える
初期侵入の足がかりを得るため、Medusaは初期アクセスブローカー(IAB)を積極的に活用しています。これらの仲介者は、あらかじめ企業ネットワークを侵害しておくか、有効な認証情報を入手しておき、そのアクセス権を他のサイバー犯罪者に販売します。Medusaの開発者は、犯罪フォーラムやアンダーグラウンドの闇市場を通じてブローカーを勧誘しています。米当局による共同勧告によれば、提携パートナーには100ドルから100万ドルの範囲で報酬が提示され、独占的な提携契約に対するボーナスも用意されているとのことです。
この分業体制により、攻撃のスピードは大幅に上がっています。Medusaの運営者は、脆弱なサーバーを独自に見つけたり、従業員のパスワードを盗んだり、その都度別の侵入手段を考案したりする必要がなくなりました。あらかじめ用意されたアクセス権を手にすることで、攻撃の参加者は権限昇格、内部ネットワークのマッピング、システム間の移動、サーバーやデータリポジトリへの到達、情報の窃取、そして暗号化に向けたシステムの準備を進めることができます。
推奨される防御策
CISA、FBI、HHSは、オペレーティングシステム、アプリケーションソフトウェア、デバイスファームウェアにおける既知の脆弱性へのパッチ適用を優先するよう推奨しています。たった一つの脆弱なコンポーネントが、攻撃者に最初の足がかりを与えてしまい、そこから攻撃が企業ネットワークの奥深くへと展開していく可能性があります。CISAのオリジナルの勧告では、Medusaが用いる具体的な戦術や手法、そして組織がグループの活動を妨げるために取れる対策について、別途詳細にまとめられています。
ネットワークのセグメント化も、重要な防御策の一つです。インフラを隔離されたゾーンに分割することで、あるマシンを侵害した攻撃者が近隣のシステムへ自由に移動することを防げます。これは「ラテラルムーブメント(横方向移動)」と呼ばれる攻撃段階で、攻撃者はすでに侵害したホストや窃取した認証情報、利用可能なネットワーク接続を足がかりに、インフラへの支配を徐々に広げていきます。米当局はまた、内部システムにおけるリモートサービスへのアクセスを制限し、信頼できない発信元からの接続をブロックすることも推奨しています。
名称が似た脅威との混同に注意
「Medusa」という名称については、特に補足が必要です。同じ名前を持つ、無関係な悪意あるプロジェクトが複数存在するためです。Miraiのコードベースを基にした、ランサムウェアに似た機能を持つ別のMedusaボットネットが存在するほか、2020年に発見されたAndroidマルウェアにも、TangleBotなど複数の名称の一つとして「Medusa」が使われています。名称が共通しているからといって、同一の脅威グループとのつながりを意味するわけではありません。
Medusaは、MedusaLockerと混同されることも少なくありません。MedusaLockerはMedusaよりも古くから存在し、まったく別の運営体で、独自の沿革、インフラ、マルウェアを持っています。今回の米当局による勧告が対象としているのは、あくまで2021年に活動を開始し、2023年にリークサイト「Medusa Blog」を立ち上げ、その後RaaSの提携モデルへと移行したMedusaグループに限られます。
翻訳元: https://meterpreter.org/medusa-ransomware-500-victims-cisa-advisory/
