Кибервымогательская группировка Medusa, начиная с июня 2021 года, атаковала более 500 организаций критической инфраструктуры США. Об этом говорится в совместном предупреждении, выпущенном Агентством по кибербезопасности и безопасности критической инфраструктуры США (CISA), Министерством здравоохранения и социальных служб США и Федеральным бюро расследований (ФБР).

«По состоянию на апрель 2026 года действия Medusa затронули более 500 жертв в различных секторах критической инфраструктуры, включая здравоохранение и общественное здоровье, оборонно-промышленный комплекс, критически важное производство, государственные службы и учреждения, информационные технологии и финансовые услуги, — сообщили ведомства. — Среди других жертв есть организации из медицинской, образовательной, юридической, страховой, технологической и производственной отраслей».

Это обновление совместного отчета, опубликованного в марте 2025 года. Тогда сообщалось, что вымогательская группировка Medusa атаковала более 300 организаций критической инфраструктуры. Таким образом, за год список жертв увеличился более чем в полтора раза.

Три федеральных ведомства рекомендовали специалистам по информационной безопасности защищать сети от атак группировки, в частности устранять уязвимости, которые могут использоваться для атак на операционные системы, программное обеспечение и прошивки. Специалистам также рекомендуется сегментировать сети, чтобы затруднить горизонтальное перемещение злоумышленников после первоначального взлома, а также блокировать доступ к удаленным сервисам внутренних систем из непроверенных источников.

Вымогательская группировка Medusa возникла в январе 2021 года. Однако заметно активнее она стала действовать только в 2023 году, когда запустила сайт Medusa Blog для публикации похищенных данных и начала использовать угрозу их раскрытия как дополнительный инструмент давления на жертв с целью получения выкупа. Первоначально Medusa представляла собой закрытую вымогательскую группировку, однако впоследствии перешла к модели «вымогательство как услуга» (Ransomware-as-a-Service - RaaS) и начала привлекать партнеров.

«Разработчики Medusa обычно нанимают брокеров первоначального доступа (initial access brokers) на киберпреступных форумах и торговых площадках, чтобы получить первоначальный доступ к системам потенциальных жертв, — говорится в предупреждении. — Таким партнерам предлагаются выплаты от $100 до $1 млн, а также возможность работать исключительно на Medusa».

Название Medusa используется сразу несколькими семействами вредоносного ПО и киберпреступными группировками. В частности, так называется созданный на основе Mirai ботнет с возможностями программы-вымогателя, а также обнаруженная в 2020 году операция по распространению вредоносного ПО для Android (которую также отслеживают под названием TangleBot). Из-за этого в публикациях о вымогательской группировке Medusa нередко возникает путаница. Например, ее часто путают с широко известной группировкой MedusaLocker, хотя это две разные киберпреступные операции. Широкое внимание СМИ Medusa привлекла в марте 2023 года, когда взяла на себя ответственность за атаку на государственные школы Миннеаполиса и опубликовала видеозапись с демонстрацией похищенных данных.