Ransomware Medusa já fez mais de 500 vítimas em todo o mundo
O ransomware Medusa já comprometeu mais de 500 organizações em diferentes países até abril de 2026, segundo uma atualização conjunta divulgada pela Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA), pelo FBI e pelo Departamento de Saúde e Serviços Humanos (HHS). O alerta chama atenção para a preferência dos criminosos por alvos de infraestrutura crítica, principalmente instituições de saúde e órgãos de saúde pública.
A nova avaliação amplia as informações apresentadas no aviso inicial, publicado em março de 2025. Entre as principais conclusões está a confirmação de que o Medusa passou a operar, desde 2023, no formato de ransomware como serviço, conhecido pela sigla RaaS. Nesse modelo, os desenvolvedores mantêm a estrutura maliciosa e autorizam afiliados a realizar invasões em troca de uma parte dos resgates.
Como funciona o ataque do Medusa
O grupo utiliza a chamada dupla extorsão. Antes de bloquear os sistemas, os invasores copiam documentos e informações estratégicas. Em seguida, criptografam arquivos e servidores, impedindo o funcionamento normal da organização. A vítima passa a ser pressionada por duas ameaças: a paralisação das operações e a divulgação pública dos dados roubados.
Para entrar nas redes, os criminosos recorrem a corretores de acesso, intermediários que invadem empresas e depois vendem as credenciais ou o acesso obtido a outros grupos. O alerta informa que os operadores do Medusa podem oferecer até US$ 1 milhão por acessos exclusivos a ambientes considerados valiosos.
Outra estratégia consiste em explorar vulnerabilidades recém-divulgadas rapidamente. Entre as falhas associadas às operações estão a CVE-2024-1709, relacionada ao ScreenConnect, e a CVE-2023-48788, uma vulnerabilidade de injeção de SQL no Fortinet EMS. A velocidade é um fator decisivo: em determinados casos, as brechas são exploradas em até 24 horas após sua divulgação pública.
Depois de obter uma porta de entrada, o grupo procura ampliar o controle sobre o ambiente. Para isso, emprega técnicas conhecidas como “living off the land”, que aproveitam recursos já existentes nos sistemas da empresa. Essa abordagem reduz a necessidade de instalar programas desconhecidos e pode dificultar a identificação do ataque.
Entre as ferramentas observadas estão o Advanced IP Scanner e o SoftPerfect Network Scanner, normalmente utilizados para mapear dispositivos e serviços em uma rede. Em mãos criminosas, esses recursos ajudam a localizar servidores, estações de trabalho, controladores de domínio e outros ativos importantes.
Os invasores também tentam desativar soluções de proteção, manipular contas privilegiadas e avançar lateralmente pela infraestrutura. O objetivo é alcançar o maior número possível de sistemas antes de iniciar a criptografia. Quanto maior o impacto, maior tende a ser a pressão para que a organização aceite negociar.
Pressão por meio de vazamentos
O Medusa mantém um portal de extorsão na dark web para expor as empresas atingidas. Os nomes das vítimas aparecem acompanhados de contagens regressivas, criando um prazo para o pagamento. Caso o resgate não seja feito, os criminosos ameaçam publicar os arquivos extraídos.
A quadrilha também oferece a possibilidade de ampliar o prazo por meio de um pagamento adicional. De acordo com o alerta, a vítima pode desembolsar US$ 10 mil em criptomoedas para adiar a divulgação por apenas um dia. A prática mostra como o grupo transforma a exposição dos dados em uma ferramenta contínua de pressão.
Mesmo quando o resgate é pago, não há garantia de que os arquivos serão apagados ou de que os sistemas serão restaurados corretamente. Além disso, o pagamento pode incentivar novas campanhas e não elimina possíveis obrigações legais relacionadas à proteção de dados, comunicação de incidentes e continuidade operacional.
Por que o setor de saúde é um alvo prioritário
Hospitais e serviços de saúde costumam operar com sistemas interdependentes e disponibilidade contínua. Uma interrupção pode afetar prontuários eletrônicos, agendamento, exames, faturamento, comunicação interna e até atividades diretamente ligadas ao atendimento de pacientes.
Essa dependência torna o setor especialmente atraente para grupos de extorsão. Em muitos casos, a urgência para recuperar serviços essenciais reduz o tempo disponível para investigar o incidente, isolar máquinas e negociar uma resposta segura.
Além disso, organizações de saúde frequentemente mantêm ambientes antigos, dispositivos conectados e aplicações de terceiros que não podem ser atualizados sem planejamento. A combinação entre tecnologia legada, grande volume de dados sensíveis e necessidade de funcionamento ininterrupto amplia a superfície de ataque.
Medidas para reduzir o risco
As autoridades recomendam aplicar rapidamente correções de segurança em sistemas expostos à internet. A prioridade deve ser dada a vulnerabilidades exploradas ativamente, especialmente aquelas associadas a ferramentas de acesso remoto, gateways, sistemas de gerenciamento e soluções usadas por administradores.
A autenticação multifator também deve ser implementada, preferencialmente com métodos resistentes a phishing. Códigos enviados por SMS oferecem proteção limitada quando comparados a chaves físicas, passkeys e outros mecanismos capazes de impedir o uso de credenciais roubadas.
A segmentação da rede é outra barreira importante. Servidores críticos, estações administrativas, dispositivos médicos e ambientes de backup não devem permanecer em uma única zona com comunicação irrestrita. Restringir conexões entre segmentos pode impedir que uma invasão inicial se transforme em um comprometimento generalizado.
Backups e recuperação operacional
Backups offline, isolados e imutáveis são essenciais para reduzir a dependência de negociações com criminosos. As cópias devem ser protegidas contra alterações e exclusões realizadas por contas comprometidas, além de serem testadas regularmente.
Não basta manter arquivos de backup: é necessário verificar se eles podem ser restaurados dentro do tempo exigido pelo negócio. Testes periódicos ajudam a identificar cópias corrompidas, credenciais inválidas, sistemas incompatíveis e falhas nos procedimentos de recuperação.
As empresas também devem elaborar um plano de resposta a incidentes, definindo responsabilidades, canais de comunicação e critérios para desligar sistemas. A preparação evita decisões improvisadas durante uma crise e acelera o isolamento da ameaça.
Monitoramento e controle de privilégios
O uso incomum de ferramentas legítimas de administração remota deve ser investigado. A equipe de segurança precisa observar acessos fora do horário habitual, conexões originadas de locais incomuns, criação repentina de contas e alterações em políticas de segurança.
Também é recomendável revisar regularmente os privilégios administrativos. Contas que não são mais necessárias devem ser removidas, enquanto permissões excessivas precisam ser reduzidas. A adoção do princípio do menor privilégio limita os danos caso uma credencial seja roubada.
O tráfego proveniente de origens não confiáveis deve ser filtrado, e os registros de autenticação, movimentação lateral e execução de comandos precisam ser preservados para investigação. A combinação entre monitoramento, segmentação e resposta rápida pode impedir que o Medusa alcance os ativos mais sensíveis.
As investigações sobre o grupo continuam em andamento. Diante do crescimento das operações e da capacidade de exploração rápida de vulnerabilidades, organizações de todos os setores devem tratar a preparação contra ransomware como parte permanente da gestão de riscos, e não apenas como uma reação após o primeiro incidente.