){kind=link}
O grupo cibercriminoso por trás do ransomware Medusa atingiu mais de 500 organizações de infraestrutura crítica até abril de 2026. O dado consta em um alerta conjunto emitido pelo FBI, pela Agência de Cibersegurança e Segurança de Infraestrutura dos Estados Unidos (CISA) e pelo Departamento de Saúde e Serviços Humanos (HHS). O levantamento, publicado originalmente em março e atualizado nesta terça-feira (18), aponta uma expansão expressiva das operações da quadrilha em setores como saúde, educação, tecnologia, manufatura, área jurídica e seguros.
Detectado pela primeira vez em junho de 2021, o Medusa operava em formato restrito, no qual a equipe de criadores desenvolvia a ferramenta e executava todas as invasões. No início de 2023, os criminosos migraram para o modelo de “franquia” (conhecido no meio técnico como ransomware como serviço ou RaaS). Nesse formato, os desenvolvedores alugam o código malicioso para parceiros e terceiros executarem os ataques, com divisão dos valores obtidos em resgates.
smart_display
Nossos vídeos em destaque
Segundo o relatório, o grupo atua de forma oportunista: a quadrilha varre a internet atrás de qualquer sistema desatualizado e não escolhe alvos por perfil institucional, embora o setor de saúde tenha se tornado um dos mais afetados. Os criminosos demonstraram agilidade extrema e chegam a utilizar brechas de segurança em menos de 24 horas após a publicação de alertas oficiais pelas empresas de software. Em determinados casos, as invasões ocorreram até uma semana antes da divulgação pública oficial das vulnerabilidades.
As agências norte-americanas pontuaram que “não há indicação de que os atores do Medusa desenvolvam suas próprias vulnerabilidades, preferindo obter acesso antecipado a brechas a partir de fontes desconhecidas ou aproveitar com rapidez falhas recém-anunciadas antes que as vítimas consigam aplicar correções”.
Camuflagem e movimentação interna
Os invasores garantem o acesso inicial por meio de falhas técnicas ou envio de e-mails fraudulentos (phishing). Uma vez dentro da rede corporativa, o grupo recorre a ferramentas legítimas de administração e programas comuns de suporte remoto para mascarar a invasão e passar despercebido.
Ao mesclar os ataques com a rotina normal do setor de tecnologia da empresa, os criminosos desativam antivírus, apagam o histórico de comandos e roubam credenciais e permissões no sistema Active Directory. Em posse dos arquivos, eles conseguem criar credenciais falsas de autenticação e transitar por toda a estrutura interna sem acionar alarmes de segurança.
Dupla extorsão e cobrança em criptomoedas
O Medusa adota a estratégia de dupla extorsão: bloqueia o acesso aos servidores ao trancar os arquivos com a extensão “.medusa” e rouba cópias de dados estratégicos para chantagear a diretoria da organização.
O bilhete de resgate estipula um prazo de 48 horas para contato por meio de navegadores anônimos ou aplicativos com criptografia de ponta a ponta. Se a vítima não responder, os operadores telefonam ou enviam e-mails diretamente para os executivos da empresa. O grupo também opera um portal na dark web com contagens regressivas públicas e links diretos para carteiras de criptomoedas, principalmente Bitcoin.
Investigações do FBI registraram casos em que, após o pagamento, a vítima foi contatada por outro membro da quadrilha com novas exigências de dinheiro sob a alegação de que o negociador anterior havia fugido com o valor. O relatório aponta que o episódio revela “um esquema de tripla extorsão ou uma disfunção operacional e falta de coesão interna no grupo”.
Diante do avanço dos ataques, as autoridades norte-americanas reforçam a orientação de recusa total ao pagamento de resgates.
“O pagamento não garante que os arquivos das vítimas sejam recuperados. Além disso, pagar pode encorajar adversários a atacar outras organizações, incentivar novos criminosos e financiar atividades ilícitas”, ressaltaram.
Entre as medidas preventivas indicadas no alerta estão a atualização imediata de sistemas expostos à internet, a troca periódica de senhas de administradores, a eliminação de acessos remotos não autorizados e a manutenção de cópias de segurança (backups) desconectadas da rede principal.
Por falar em universo digital, a Meta promoveu anúncios de app que promete criar falsas fotos íntimas de mulheres com IA. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.