Medusaランサムウェア、500件超の被害を確認 当局が急速な悪用を警告

米サイバーセキュリティ・インフラセキュリティ庁(CISA)、連邦捜査局(FBI)、保健福祉省(HHS)は、Medusaランサムウェアに関する共同勧告を更新しました。同ランサムウェアは2021年6月の登場以降、世界中で500件を超える被害組織を出しています。2026年8月18日に公開された今回の更新版は、2026年4月までのFBI捜査で得られた知見を反映したもので、2025年に報告されていた300件超という被害件数から増加しています。

共同勧告によると、Medusaは医療、教育、法律、保険、テクノロジー、製造業など幅広い業界の組織に被害を与えてきました。中でも医療業界が頻繁に標的とされていますが、同グループは特定の組織や業界に絞るのではなく、機会主義的に攻撃対象を選んでいます。

Medusaは2023年初頭に、産業化されたRaaS(Ransomware-as-a-Service)モデルへと移行し、アンダーグラウンドのブローカーから100ドルから100万ドルという幅広い価格帯でアクセス認証情報を購入しています。同グループはまた、ConnectWise ScreenConnect、Fortinet、Fortra、BeyondTrustといったベンダー製品の未パッチ脆弱性を積極的に悪用しています。

勧告では「Medusaの攻撃者は、新たに公表された脆弱性を24時間以内に悪用している」と指摘されています。同グループは脆弱性の公開情報開示より最大1週間前にエクスプロイトを使用していたケースもありましたが、当局はMedusaが自ら独自のゼロデイ脆弱性を開発している証拠は確認していません。侵入後、攻撃者はPowerShellや正規のリモート管理ソフトウェアといったネイティブツールを利用して検知を回避し、内部で横展開します。その後、gaze.exeという暗号化ツールを展開し、バックアップ、セキュリティ、データベース、通信、ファイル共有、Webサイトの各サービスを停止させてからファイルを暗号化します。

恐喝の罠

Medusaは、ファイル暗号化と恐喝を組み合わせた手口を使っており、盗み出したデータをダークウェブのリークサイトに掲載し、公開までのカウントダウンを表示します。身代金要求メモには48時間以内の連絡を指示しており、被害者は暗号資産で1万ドルを支払うことでリークサイトのカウントダウンを1日延長できるとされています。

連邦当局は、身代金を支払っても復旧が保証されるわけではないと警告しています。FBIは、身代金を支払った被害者に対し、別のMedusa攻撃者が接触してきた事例を少なくとも1件確認しています。この攻撃者は「最初の交渉担当者が身代金を着服した」と主張し、本物の復号ツールを渡す代わりにさらなる支払いを要求したとのことです。

24時間パッチ適用のジレンマ

Medusaの24時間以内という悪用サイクルは、従来の企業向けパッチ適用の常識を覆すものです。多くのIT部門は、基幹システムを更新する前にソフトウェアパッチの競合を評価するために数日から数週間を要します。未検証のパッチを本番サーバーに急いで適用すれば、運用の安定性に重大なリスクが生じます。しかし、通常のテスト期間を経てから適用すれば、その間に自動化された侵入を許してしまう可能性があります。

esecurityplanet.com/news/news-microsoft-august-2026-patch-tuesday/↗

Medusaは境界防御を突破した後、標準搭載の管理ツールに依存するため、セキュリティチームは迅速なパッチ適用だけに頼ることはできません。この攻撃テンポに対抗するには、境界侵害は起こり得るものだという前提に立ち、厳格なネットワークセグメンテーション、アプリケーションの許可リスト化、リモート管理ソフトウェアの隔離といった対策を優先し、暗号化が始まる前に横展開を食い止めることが求められます。

推奨される対策

連邦当局は、防御側に対し、インターネットに公開されているすべての資産の脆弱性対策を迅速に進めること、フィッシング耐性のある多要素認証を導入すること、内部サブネットを隔離すること、改ざん不可能なオフラインバックアップを維持すること、そして不正なリモート監視ツールがないかネットワークを監査することを強く求めています。

関連記事: Medusaがアフィリエイト活動を拡大する中、 ランサムウェア攻撃者は管理職やその他のビジネスリーダーもますます標的にしています。こうした人物の権限やアクセス権が、重要システムへの侵入経路になり得るためです。